Книга
← К списку книгЗагрузка разделов…
активнаАктивные записи участвуют в каталоге и синках. Неактивная книга скрыта, но не удалена из базы.
Книга
ГЛАВА 1 Microsoft Exchange Server 2003 и Active Directory1
Занятие 1. Обзор Active Directory2
Леса и домены Active Directory.2
Сайты Active Directory3
Схема Active Directory3
Подразделения 4
Глобальные каталоги 4
Назначение глобального каталога4
Серверы глобального каталога5
Хозяева операций5
Закрепление материала 6
Занятие 2. Интеграция Exchange Server 2003 в Active Directory7
Контексты именования8
Контекст именования домена 8
Контекст именования конфигурации8
Контекст именования схемы 8
Интеграция глобального каталога8
DS Proxy 8
DSAccess*9
Интеграция групп Active Directory9
Закрепление материала 9
Занятие 3. Интеграция протоколов и служб Exchange Server 2003 и Windows Server 2003 10
Exchange Server 2003 и IIS 6 10
Служба SMTP 11
Служба NNTP 11
Служба WWW 12
Закрепление материала 12
Пример из практики 13
Требование 1 13
Требование 2 13
Рекомендации по подготовке к экзамену 14
Основные положения 14
Основные термины 14
Вопросы и ответы14
ГЛАВА 2 Планирование инфраструктуры Microsoft Exchange Server 2003 18
Занятие 1. Комментарии к процессу установки 19
Поддерживаемые комбинации Exchangeн Windows Server20
Требования к оборудованию21
Создание учетной записи службы22
Установка служб Windows, необходимых для Exchange Server 2003 24
Лабораторная работа. Подготовка к установке24
Упражнение 1. Создание учетной записи службы 24
Упражнение 2. Установка компонентов Wndows, необходимых для Exchange Server 2003 25
Резюме26
Занятие 2. Подготовка лесов и доменов27
ForestPrep 27
DomainPrep 30
Лабораторная работа. Подготовка лесов и доменов30
Упражнение 1. Запуск ForestPrep*30
Упражнение 2. Запуск DomainPrep31
Резюме31
Занятие 3. Выполнение установки Exchange Server 2003 32
Типы установки 32
Установка Exchange Server 2003 в новой организации34
Лабораторная работа. Установка Exchange Server 2003 в новой организации34
Упражнение 1. Установка Exchange Server 2003 при помощи Мастера установки Microsoft Exchange34
Резюме 39
Занятие 4. Автоматическая установка39
Создание файла .ini для автоматической установки 40
Выполнение автоматической установки Exchange Server 2003 41
Лабораторная работа. Выполнение автоматической установки Exchange Server 2003 42
Упражнение 1. Создание конфигурационного файла Unattend.ini42
Упражнение 2. Выполнение автоматической установки Exchange Server 2003 42
Резюме 43
Занятие 5. Удаление сервера Exchange Server 2003 из организации*43
Удаление сервера Exchange Server 2003 при помощи Мастера установки Microsoft Exchange 44
Принудительное удаление Exchange Server 2003 из организации44
Лабораторная работа. Удаление Exchange Server 2003 из организации45
Упражнение 1. Удаление Exchange Server 2003 46
Упражнение 2. Принудительное удаление Exchange Server 2003 из организации 46
Резюме 47
Практикум по устранению проблем 48
ГЛАВА 3 Настройка инфраструктуры Microsoft Exchange Server 2003 50
Занятие 1. Что следует рассмотреть после установки 51
Службы Exchange Server 2003 * 51
Зависимость служб 53
Учетные записи служб для входа в систему 54
Делегирование полномочий**54
Администрирование клиентских рабочих станций* 55
Добавление и удаление компонентов Exchange Server 2003 57
Лабораторная работа. Что следует рассмотреть после установки57
Упражнение 1. Модификация служб Exchange Server 200358
Упражнение 2. Делегирование административных полномочий58
Упражнение 3. Добавление компонентов Exchange Server 2003 59
Резюме* *• ♦, 59
Занятие 2, Административные группы и группы маршрутизации60
Административные группы *.... 60
Административные модели 62
Группы маршрутизации *・ * 63
Лабораторная работа. Административные группы и группы маршрутизации64
Упражнение 1. Создание административных групп64
Упражнение 2. Создание групп маршрутизации 65
Резюме * 65
Занятие 3, Смешанный режим и основной режим66
Концепции, лежащие в основе смешанного и основного режимов 66
Преимущества и ограничения смешанного режима 67
Преимущества смешанного режима 68
Ограничения смешанного режима 68
Преимущества основного режима 69
Преимущества основного режима .... 70
Переключение в основной режим* 70
Резюме...,, *70
Занятие 4. Внешние и внутренние серверы *71
Архитектура внешних м внутренних серверов 72
Преимушества архитектуры внешних и внутренних серверов72
Сценарии с использозанием внешних и внутренних серверов73
Обычная топология внешних и внутренних серверов. *, 73
Внешний сервер за брандмауэром 73
Ба-аансировка нагрузки на внешний сервер74
Резюме74
ГЛАВА 4 Совместная работа с Microsoft Exchange Server 5.575
Занятие 1. Подключение Exchange Server 5.5 к Active Directory76
Установка коннектора Active Directory 77
Планирование развертывания ADC 77
Установка ADC*78
Использование утилиты ADC Tools78
Настройка соглашения о соединении вручную80
Лабораторная работа. Подключение Exchange Server 5.5 к Active Directory81
Упражнение L Установка ADC 82
Упражнение 2. Подготовка Exchange Server 5.5 к синхронизации каталога .... 83
Упражнение 3. Настройка синхронизации каталога при помощи утилиты ADC Tools 84
Упражнение 4. Проверка синхронизации каталога89
Упражнение 5. Создание соглашения о соединении вручную90
Занятие 2, Установка Exchange Server 2003 в существующей организации Exchange Server 5.5 94
Установка Exchange Server 2003 в организации Exchange Server 5.595
Управление серверами в смешанном режиме 98
Служба Site Replication Service 100
Лабораторная работа. Установка Exchange Server 2003 в существующей организации Existing Exchange Server 5.5 101
Упражнение 1. Установка Exchange Server 2003 в существующей организации Existing Exchange Server 5.5 101
Резюме* *. 104
Занятие 3. Устранение неполадок с соединением между Active Directory н Exchange Server 5.5 104
Объединение дублирующихся учетных записей 105
Устранение неполадок с ADC 105
Основы устранения неполадок ADC* 106
Репликация из Exchange Server 5.5 в Active Directory 106
Репликация из Active Directory в Exchange Server 5.5 107
Диагностические журналы 107
Устранение неполадок службы Site Replication Service 109
Лабораторная работа. Устранение неполадок с соединением между Active Directory и Exchange Server 5.5* 109
Упражнение 1. Объединение дублирующихся учетных записей 109
Резюме. 112
Практикум по устранению проблем ] 12
ГЛАВА 5 Миграция с Microsoft Exchange Server и других почтовых систем 114
Занятие 1. Обновление Exchange Server 5.5 и Exchange Server 2000 115
Обновление и перевод организации Exchange Server 5.5 на Exchange Server 2003 ** 116
Перевод серверов Exchange Server 5.5 на Exchange Server 2003 в той же организации116
Миграция учетных записей пользователей между лесами119
Перенос Exchange Server 5.5 в новую организацию Exchange Server 2003 121
Обновление и миграция организации Exchange 2000 Server до Exchange Server 2003 124
Переход с Exchange 2000 Server на новую организацию Exchange Server 2003 126
Лабораторная работа. Обновление Exchange Server 5.5 и Exchange Server 2000... 126
Упражнение 1. Настройка доверия между доменами, участвующими в миграции 127
Упражнение 2. Перенос учетных записей Active Directory при помощи утилиты
Active Directory Migration Tool* 127
Упражнение 3. Перенос почтовых ящиков при помощи мастера Exchange Migration Wizard 134
Занятие 2. Настройка Exchange Server 2003 для взаимодействия с другими системами обмена сообщениями 137
Настройка Exchange Server 2003 для обеспечения взаимодействия
с Lotus Notes 137
Настройка Exchange Server 2003 для взаимодействия с Х.400-совместимыми системами обмена сообщениями 143
Лабораторная работа. Настройка Exchange Server 2003 для взаимодействия с прочими системами обмена сообщениями* 144
Упражнение 1. Создание транспортного стека Х.400 144
Занятие 3* Миграция с прочих систем обмена сообщениями 148
Использование мастера Migration Wizard для перехода с прочих систем обмена сообщениями 148
Практикум по устранению проблем 150
Упражнение 1. Попытка перенести почтовые ящики при помощи мастера Migration Wizard *150
Упражнение 2. Перенос почтовых ящиков при помощи консоли Active Directory — пользователи и компьютеры* 150
ГЛАВА 6 Установка кластеров, внешних и внутренних серверов Microsoft Exchange Server 2003 151
Занятие 1. Установка Exchange Server 2003 в кластерной среде152
Network Load Balancing и Microsoft Cluster Service*153
Network Load Balancing 153
Microsoft Cluster Service 155
Exchange Server 2003 и кластеризация 157
Активно-активные и активно-пассивные оастеры Exchange Server 2003 ….158
Кластерные компоненты Exchange Server 2003 158
Разрешения*... i. ** 160
Группы хранения 160
Установка Exchange Server 2003 в кластере Windows Server 2003 161
Лабораторная работа. Установка Exchange Server 2003 в кластерной среде 161
Упражнение 1. Настройка кластера Windows Server 2003 161
Упражнение 2. Установка Exchange Server 2003 на узле кластера. 165
Занятие 2. Управление кластером Exchange Server 2003 166
Создание виртуального сервера Exchange Server 2003 166
Управление кластеризованными службами Exchange Server 2003 168
Лабораторная работа. Управление кластером Exchange Server 2003 ・...,・....♦, 171
Упражнение L Создание виртуального сервера Exchange Server 2003 171
Упражнение 2. Создание ресурса IP-адреса 171
Упражнение 3. Создание ресурса сетевого имени 172
Упражнение 4. Добавление дискового ресурса на виртуальный сервер Exchange Server 2003 173
Упражнение 5. Создание ресурса Exchange Server 2003 System Attendant Resource 174
Занятие 3. Установка Exchange Server 2003 в конфигурации с внешними и внутренними серверами175
Настройка Exchange Server 2003 в качестве внешнего сервера 176
Внешние и внутренние серверы и кластеризация 177
Лабораторная работа. Установка Exchange Server 2003 в конфигурации с внешними и внутренними серверами 178
Упражнение 1. Настройка Exchange Server 2003 в качестве внешнего сервера 179
ГЛАВА 7 Управление объектами получателей и списками адресов180
Занятие 1. Настройка объектов получателей 181
Типы получателей 181
Получатели-пользователи 182
П ол уч атели -конта кты 183
Получатели-группы 183
Получатели-общие папки 184
Создание объектов получателей.. * 185
Управление почтовыми ятнкамм 188
Удаление почтового ящика】88
Повторное подключение почтового ящика в Active Directory 190
Скрывание почтовых ящиков и адресов из GAL 192
Модификация адресов электронной почты 192
Настройка ограничений хранения 194
Настройка разрешений почтовых ящиков202
Настройка ограничений доставки204
Пересылка писем из почтовых яшиков на другие адреса электронной почты 205
Перенос почтовых ящиков на другие серверы и хранилища почтовых ящиков206
Управление группами с адресом электронной поить】214
Серверы расширения214
Группы распространения на основе запросов215
Ограничение доступа к группам с адресом электронной почты216
Лабораторная работа. Настройка объектов получателей217
Упражнение 1. Создание объектов получателей217
Упражнение 2. Удаление и повторное подключение почтового ящика218
Упражнение 3. Перенаправление писем из почтового ящика218
Упражнение 4. Перемещение почтового яшика 219
Упражнение 5. Ограничение доступа к группе с адресом электронной почты 219
Занятие 2. Настройка банков сообщений220
Знакомство с архитектурой групп хранения220
Знакомство с использованием нескольких баз данных и групп хранения221
Добавление групп хранения и баз данных223
Перемещение групп хранения и баз данных Exchange Server 2003 226
Лабораторная работа. Настройка банков сообщений 228
Упражнение 1. Создание группы хранения 228
Упражнение 2. Добавление хранмлищ почтовых ящиков. 228
Упражнение 3. Перемещение группы хранения229
Упражнение 4. Перемещение базы данных 229
Занятие 3. Создание и управление списками адресов и политиками получателей... 230
Создание и модификация списков адресов 230
Создание списка адресов 231
Модификация списка адресов* 233
Администрирование списков адресов 234
Настройка разрешений для списков адресов234
Обновление списка адресов вручную 235
Управление службой Recipient Update Service 235
Работа с автономными списками адресов 237
Создание и применение политик получателей239
Лабораторная работа. Создание и управление списками адресов и политиками получателей* 240
Упражнение I, Подготовка среды Exchange Server 2003 241
Упражнение 2. Создание списков адресов 241
Упражнение 3. Создание автономного списка адресов * 242
Упражнение 4* Назначение автономного списка адресов хранилищу почтовых ящиков 242
Практикум по устранению проблем242
ГЛАВА 8 Общие папки 244
Занятие 1. Создание общих папок* ”...245
Использование общих папок*245
Создание общих папок 246
Создание общих папок в Outlook 246
Создание общих папок в OWA*247
Создание общих папок в Exchange System Manager 248
Создание дерева общих папок 250
Дерево общих папок по умолчанию 250
Деревья общего назначения250
Создание деревьев общих папок общего назначения .... 251
Лабораторная работа. Создание общих папок 251
Упражнение 1. Создание дерева общих папок и общего хранилища251
Упражнение 2. Создание общих папок251
Упражнение 3. Создание виртуального каталога *252
Упражнение 4. Доступ кперсву общих папок по протоколу HTTP 253
Занятие 2. Администрирование общих папок 253
Управление свойствами электронной почты общих папок254
Вкладка E-Mail Addresses 254
Вкладка Exchange General 254
Вкладка Exchange Advanced *257
Вкладка Member Of ,, 258
Настройка ограничений хранения для обшихпапок258
Ограничения по срокам259
Перемещение общих папок 260
Репликация общих папок 260
Репликация вручную262
Перенаправление общих папок263
Лабораторная работа. Администрирование общих папок264
Упражнение 1. Присвоение общей папке электронного адреса264
Упражнение 2. Репликация общей папки264
Упражнение 3. Запуск репликации вручную265
Занятие 3. Безопасность общих папок 265
Унаследованные и назначенные разрешения265
Категории разрешений266
Настройка разрешений267
Настройка прав для каталога270
Настройка административных прав 270
Лабораторная работа. Безопасность общих папок271
Упражнение L Назначение клиентских ролей271
Упражнение 2. Настройка модерируемой общей папки271
Практикум по устранению неполадок272
ГЛАВА 9 Виртуальные серверы273
Занятие 1. Обзор виртуальных серверов Exchange Server 2003 274
Виртуальные серверы в кластерной среде Windows275
Виртуальные серверы в среде балансирования сетевой нагрузки275
Требования для работы виртуального сервера Exchange 276
Обзор виртуальных серверов POP3277
Настройка виртуального сервера POP3278
Обзор виртуальных серверов IMAP4 279
Настройка виртуального сервера IMAP4280
Обзор виртуальных серверов NNTP280
Настройка виртуального сервера NNTP 281
Обзор виртуальных серверов HTTP283
Настройка виртуального сервера HTTP283
Создание дополнительных виртуальных серверов ННТР и виртуальных каталогов284
Контроль доступа к виртуальному серверу HTTP285
OWA285
Обзор виртуальных серверов SMTP286
Настройка виртуального сервера SMTP286
Лабораторная работа. Включение и запуск служб POP3, IMAP4 и NNTP 287
Упражнение 1. Запуск отключенных служб287
Упражнение 2. Запуск виртуальных серверов POP3, IMAP4 и NNTP288
Упражнение 3. Назначение IP-адресов виртуальным серверам289
Занятие 2. Настройка параметров виртуал ьного сервера291
Создание дополнительных виртуальных серверов291
Настройка параметров виртуального сервера292
Настройка виртуального сервера HTTP292
Настройка виртуальных серверов POP3 н IMAP4293
Настройка виртуальных серверов NNTP 293
Настройка виртуальных серверов SMTP294
Настройка серверов интерфейса (Front-End) и серверов хранилищ (Back-End). 295
Лабораторная работа. Создание и настройка виртуальных серверов296
Упражнение 1. Создание пользователей с почтовыми ящиками296
Упражнение 2. Создание виртуального сервера HTTP297
Упражнение 3. Настройка виртуального сервера HTTP 299
Упражнение 4. Настройка аутентификации, основанной на формах301
Упражнение 5. Создание виртуального сервера POP3301
Упражнение 6. Настройка виртуального сервера POP3302
Упражнение 7. Создание и настройка виртуального сервера IMAP4304
Упражнение 8. Создание виртуального сервера NNTP 305
Упражнение 9. Настройка виртуального сервера NNTP306
Упражнение 10. Создание виртуального сервера SMTP308
Упражнение И. Настройка виртуального сервера SMTP309
Занятие 3. Настройка аутентификации 311
Настройка методов аутентификации на виртуальном сервере311
Аутентификация 311
Шифрование 312
Другие методы аутентификации313
Поддерживаемые методы аутентификации313
Настройка доступа клиентов к протоколам виртуальных серверов314
Лабораторная работа. Получение, установка и назначение сертификата для виртуального сервера IMAP4 на сервере интерфейса Exchange314
Лабораторная работа. Настройка аутентификации316
Упражнение 1. Настройка аутентификации на виртуальных серверах, расположенных на сервере хранилищ Exchange316
Упражнение 2, Настройка аутентификации на виртуальном сервере HTTP, расположенном на сервере интерфейса Exchange318
Упражнение 3. Проверка параметров аутентификации на виртуальном сервере POP3, расположенном на сервере интерфейса Exchange320
Занятие 4. Обслуживание виртуальных серверов321
Состояние виртуального сервера321
Просмотр подключенных пользователей и их отключение322
Диагностическое протоколирование 322
Лабораторная работа. Просмотр пользователей, подключенных
к виртуальному серверу IMAP4, и управление этими пользователями 322
Упражнение 1. Просмотр пользователей, подключенных к виртуальному серверу 1МАР4, и управление этими пользователями.322
Практикум по устранению проблем323
ГЛАВА 10 §МТР<протокол: Настройка и управление326
Занятие I. Управление поддержкой переноса сообщений SMTP328
Как SMTP реализует подключение328
Наиболее распространенные SMTP-команды329
Общие коды-отоики SMTP 330
Как ESMTP реализует соединение 330
Наиболее распространенные команды ESMTP33】
Проверка ESMTP-соединения332
SMTP-папки 333
Настройка DNS на поддержку SMTP333
MX-записи для организации, управляющей собственной DNS334
MX-записи для организаций, у которых DNS управляет 1SP335
Настройка подключения к Интернету335
Создание дополнительного виртуального SMTP-сервера336
Ограничение области действия SMTP-коннектора336
Настройка мандатов на SMTP-коннекторе336
Настройка SMTP-коннектора только на прием или только на отправку электронной почты336
Настройка интернет-форматов сообщений и параметров доставки сообщений337
Настройка SMTP-трансляции337
Настройка виртуального SMTP-сервера на использование smart-узла338
Настройка виртуального SMTP-сервера на перенаправление неразрешенных (unresolved) сообщений на smart-узел338
Настройка виртуального SMTP-ссрвсра в качестве узла трансляции338
Настройка виртуального SMTP-сервера на ограничение числа серверов, которые могут выполнять трансляцию электронных сообщений339
Настройка SMTP-коннектора на использование smart-узла339
Указание доменов, на которые вы желаете транслировать сообщения339
Лабораторная работа. Создание MX-записей и настройка SMTP-коннектора.. . 339
Упражнение L Создайте MX-запись для серверов Exchange Server 2003 Servers* 340
Упражнение 2. Создание и настройка SMTP-коннектора341
Лабораторная работа. Настройка SMTP-коннектора для использования узла трансляции для исходящего SMTP342
Закрепление материала343
Резюме 345
Занятие 2. Настройка SMTP-безопасности и дополнительные возможности345
Настройка соединений 346
Настройка входящих соединений346
Настройка исходящих соединений 346
Безопасность SMTP-трафика 347
Ауте нти ф и кация 347
Шифрование 348
Обратный DNS-поиск348
Ограничение Интернет-почты348
Предотвращение или ограничение распространения рассылок коммерческого характера 349
Получение почты от Интернет-провайдера по коммутируемому соединению*350
Распознание ошибок доставки сообщений 351
Лабораторная работа. Настройка SMTP-безопасности и соединений по требованию* 351
Упражнение 1, Настройка аутентификации входящих сообщений351
Упражнение 2. Настройка TLS-шифрования353
Упражнение 3. Ограничение возможности отправки И и нтернет-почты354
Упражнение 4. Предотвращение открытой трансляции 355
Упражнение 5. Перекрытие настроек трансляции виртуального SMTP-сервера путем настройки SMTP-коннектора357
Упражнение 6. Подключение к Интернету с помощью Routing and Remote Access .. 357
Упражнение 7. Настройка Exchange Server 2003 на извлечение электронной почты с другого сервера с помощью команды etrn358
Закрепление материала 358
Резюме 359
Занятие 3. Настройка взаимодействия с другими SMTP-системами обмена сообщениями**360
Установка глобальных насгроек361
Установка параметров сообщения по умолчанию362
Установка параметров почтового ящика по умолчанию362
Поддержка НТТР-клиентов*363
Виртуальные каталоги364
Outlook Wfeb Access 364
Поддержка 1МАР4-клиентов 364
Настройка 1МАР4-клиентов* 365
Поддержка РОРЗ-клиентов 366
Настройка РОРЗ-клиентов*366
Установка для клиента разрешения на отсылку почты*367
Поддержка NNTP-клиентов 367
Лабораторная работа. Настройка сообщений и клиентов . 368
Упражнение 1. Связь MIME-типов с расширениями 368
Упражнение 2. Настройка параметров по умолчанию для сообщений368
Упражнение 3. Создание пользователя с почтовым ящиком . 370
Упражнение 4. Настройка 1МАР4-клиента 371
Упражнение 5. Настройка РОРЗ-клиента374
Закрепление материала* 375
Резюме 376
Пример из практики376
Требование 1 377
Требование 2* * *377
Требование 3 377
Практикум по устранению проблем378
Резюме главы* 379
Рекомендации по подготовке к экзамену*» 380
Основные положения 380
Основные термины 380
Вопросы и ответы .. *. - 381
ГЛАВА 11 Безопасность Microsoft Exchange Server 2003 386
Занятие I. Управление подключениями с помощью брандмауэров387
Как работает брандмауэр388
Фильтрация ТСР-портов388
Подключение через брандмауэр MAPI-клиента390
Лабораторная работа. Настройка Exchange Server 2003 на использование RPC по HTTP390
Упражнение 1. Настройка сервера интерфейса на использование RPC по HTTP 391
Упражнение 2. Настройка виртуального каталога RPC391
Упражнение 3. Настройка прокси-сервера RPC на использование определенных портов391
Упражнение 4. Создание профиля Outlook для использования RPC по HTTP393
Упражнение 5. Настройка Internet Connection Firewall395
Занятие 2. Защита от компьютерных вирусов396
Вирусы, черви и трояны*397
Передача вирусов -* 397
Разработка антивирусной стратегии 398
Установка антивирусного программного обеспечения 399
Обеспечение актуальности зашиты400
Выбор антивирусной программы 400
Политики и процедуры борьбы с вирусами401
Обновления безопасности 402
Сигнатуры вирусов 404
Лабораторная работа. Загрузка антивирусной программы404
Упражнение 1. Загрузка антивирусной программы404
Занятие 3. Защита почтовых яшиков405
Фильтрация сообщений405
Списки блокировки почты406
Фильтрация подключений 406
Оценка электронных писем 407
Принципы защиты почтовых ящиков407
Фильтрация получателей и отправителей 408
Лабораторная работа. Настройка зашиты от нежелательной почты
(Junk E-Mail Feature) в Outlook 2003 и включение фильтрации подключений 409
Упражнение 1. Настройка защиты от нежелательной почты в Outlook 2003 .. 409
Упражнение 2. Включение фильтрации подключений409
Упражнение 3. Блокирование адреса электронной почты и домена410
Занятие 4. Реализация механизмов цифровой подписи и шифрования412
Цифровая подпись и шифрование413
Инфраструктура открытых ключей . 414
Лабораторная работа. Развертывание сертификатов цифровой подписи и шифрования416
Упражнение 1. Реализация механизмов цифровой подписи и шифрования на платформе Exchange Server 2003 416
Упражнение 2. Настройка механизмов цифровой подписи м шифрования н Outlook 2003 417
Занятие 5. Настройка административных разрешений 418
Административные группы 419
Добавление административной группы Exchange 419
Мастер Exchange Administration Delegation Wizard 420
Роли и соответствующие полномочия 420
Дополнительные разрешения безопасности 421
Утилита Adsiedit.exe 422
Лабораторная работа. Создание и использование административной группы ... 422
Упражнение 1. Создание административной группы 422
Упражнение 2. Делегирование контроля над административной группой.... 423
Упражнение 3. Настройка дополнительных разрешений безопасности425
Занятие 6. Отключение служб и журналирование протоколов427
Службы, используемые Exchange Server 2003 4 28
Службы, не зависящие от роли 428
Переустановка и обновления * 428
Службы на сервере интерфейса Exchange429
Службы на сервере хранилищ Exchange 431
Журналирование протоколов432
Форматы журналирования432
Лабораторная работа. Включение и настройка журналирования протоколов, ... 434
Упражнение 1. Включение журналирования для виртуальных серверов SMTPhNNTP 434
Упражнение 2. Включение н настройка журналирования для виртуального сервера Exchange * * 435
Практикум по устранению проблем 436
Упражнение 1. Отсылка нежелательной почты436
Упражнение 2. Блокировка нежелательной электронной почты от определенных доменов* 437
Упражнение 3. Удаление записи из списка блокировки почты438
ГЛАВА 12 Архивация и восстановление 440
Занятие 1. Управление хранилищем данных 441
Как Exchange Server 2003 управляет данными * 442
Дисковые массивы* ,, * 442
RAID-О. Расщепление диска* 443
RAI D-1. «Зеркало» или дуплекс*443
RAID-0+1. Зеркальное чередование**444
RAID-5. Чередование с проверкой четности 444
Хранение протоколов транзакций и базы данных445
Как протокол транзакций защищает ваши данные.446
Мягкое восстановление 446
Жесткое восстановление 447
Потеря файлов протокола транзакций447
Циклическое протоколирование448
Технологии хранения * •.・ 449
Массив внешнего хранения449
Хранилище, подключаемое по сети 450
Хранилище с непосредственным доступом450
Лабораторная работа: Управление хранилищем451
Упражнение 1. Создание группы хранения451
Упражнение 2. Управление группой хранения451
Закрепление материала *453
Резюме *454
Занятие 2, Архивация Exchange Server 2003 454
Типы архивируемых данных454
Статические данные455
Динамические данные455
Стратегии архивации .., 455
Полная архивация 456
Полная архивация плюс добавочная456
Полная архивация плюс дифференциальная456
Архивация копированием456
Архивация копированием плюс добавочная 456
Последствия размера архивации457
Выполнение архивации457
Архивация в оперативном режиме457
Автономная архивация458
Служба фонового копирования тома458
Архивация кластеров Exchange 459
Восстановление индексов460
Проверка архивов 460
Лабораторная работа. Архивация460
Упражнение 1. Архивация группы хранения460
Упражнение 2. Включение VSS462
Упражнение 3. Создание индекса общедоступной папки462
Упражнение 4. Удаление и воссоздание индексов463
Закрепление материала 465
Резюме 465
Занятие 3. Восстановление Exchange Server 2003 465
Восстановление БД466
Использование утилиты архивации Windows Server 2003 для восстановления хранилищ 466
Восстановление нескольких хранилищ. 467
Восстановление из автономных архивов468
Восстановление почтовых ящиков468
Восстановление сообщений469
Восстановление общедоступных папок470
Использование Exmerge.exe для восстановления почтовых ящиков471
Восстановление кластеров *. 472
Архивация и восстановление данных о состоянии системы473
Полное восстановление серверов474
Выполнение пробного восстановления475
Лабораторная работа. Восстановление после аварии 475
Упражнение L Восстановление хранилища почтового ящика 475
Упражнение 2. Использование OWA для восстановления удаленных сообщений* ， * 477
Упражнение 3* Архивация данных состояния системы*... *478
Упражнение 4. Восстановление данных состояния системы478
Упражнение 5. Восстановление рядового сервера Exchange Server 2003 480
Закрепление материала. 482
Резюме * 482
Пример из практики 482
Лребование 1 483
Требование 2* 483
Требование 3 ， ***483
Практикум по устранению проблем * 484
Резюме главы *・,,• 486
Рекомендации по подготовке к экзамену 486
Основные положения 486
Основные термины .»* * 487
Вопросы и ответы 487
ГЛАВА 13 Контроль работы Microsoft Exchange Server 2003 491
Занятие 1. Выполнение ежедневного мониторинга и обслуживания Exchange Server 2003 492
Задачи ежедневного контроля492
Проверка протоколов 493
Контроль служб и ресурсов 494
Статистика хранилища Exchange496
Просмотр событий 498
Нормальные события 498
Аварийные события.* 499
Утилита Monitoring And Status 500
Утилита Queue Viewer*, 501
Отключение исходящей почты 502
Параметры502
Поиск сообщений 502
Дополнительные сведения об очгреди 503
Использование Queue Viewer для поиска потенциальных проблем503
Лабораторная работа. Настройка диагностических уровней и утилита Monitoring And Status 504
Упражнение 1. Настройка диагностического протоколирования 504
Упражнение 2. Определение наблюдаемых событий506
Занятие 2. Выполнение планового контроля и обслуживания Exchange Server 2003 * **., 509
Планируемые задачи обслуживания 509
Генерация отчетов к определение тенденций510
Планирование емкости 510
Консоль Производительность511
Настройка консоли Производительность511
Анализ тенденций*512
Журналы протоколов512
Использование файла журнала протокола 513
HTTP Monitor514
Установка НТТРМоп 514
Ограничения почтового ящика515
Папка Badmail 516
Почтовый ящик Postmaster516
Лабораторная работа. Использование протоколов производительности, журналов протоколов и управление ограничениями почтовых ящиков517
Упражнение 1. Настройка протокола производительности517
Упражнение 2, Генерация отчета производительности519
Упражнение 3. Чтение файла журнала SMTP-протокола.520
Упражнение 4. Создание политики хранилища почтового ящика и политики получателя, проверка переполненных ящиков521
Занятие 3. Выполнение контроля и обслуживания Exchange Server 2003 по требованию 522
Задачи обслуживания по требованию 522
Дефрагментация в оперативном режиме523
Дефрагментация хранилищ Exchange523
Проверка целостности хранилища Exchange 524
Проверка очередей 524
Средства управления Exchange Server 2003 525
Лабораторная работа. Дефрагментация хранилищ Exchange и проверка их целостности526
Упражнение 1. Дефраг\(ентация хранилища почтового ящика526
Упражнение 2. Проверка хранилища почтового ящика527
Практикум по устранению проблем 528
ГЛАВА 14 Устранение проблем Microsoft Exchange Server 2003 535
Занятие 1. Устранение проблем миграции и возможности взаимодействия537
Устранение проблем установки 537
Аппаратные требования 538
Программные требования538
Требования к разрешениям539
Удаление Exchange Server 2003 Server540
Устранение проблем связи 540
Устранение проблем миграции541
Устранение проблем взаимодействия 542
Лабораторная работа. Использование утилит Nctdiag и Dcdiag543
Упражнение 1. Создание файлов для результатов тестов543
Упражнение 2. Использование Netdiag для проверки возможности подключения к сети544
Упражнение 3. Использование Netdiag для поиска 544
Упражнение 4. Использование Dcdiag для проверки ServerO2545
Упражнение 5. Использование Dcdiag для обнаружения сбоя на Serveг02. . . . 546
Занятие 2. Устранение проблем серверов Exchange Server 2003 547
Устранение проблем работоспособности сервера547
Устранение проблем хранилища данных 549
Политики хранилища почтового ящика и общедоступной папки.550
Устранение проблем кластеров * *. • 551
Устранение проблем архивации и восстановления 551
Группа хранения восстановления**552
Лабораторная работа. Настройка сигналов тревоги552
Упражнение 1. Настройка емгнала тревоги очереди552
Занятие 3* Устранение проблем организации Exchange Server 2003 5 55
Устранение проблем общедоступных папок555
Устранение проблем виртугьчьных серверов 557
Диагностическое протокол иро ван не 557
Кодировка и трансляция. 558
Устранение проблем Front-End и Back-End серверов 558
Устранение проблем связи *560
Лабораторная работа. Ограничение разрешений записи и удаления в отношении общедоступных папок 560
Упражнение L Создание группы безопасности560
Упражнение 2. Настройка разрешений в отношении хранилища общедоступной лапки 562
Занятие 4. Устранение проблем безопасности 564
Устранение проблем связи через брандмауэр 565
Трансляция сетевых адресов,. 566
Защита от вирусов * 567
Журналы брандмауэра *567
Устранение проблем разрешений 567
Устранение проблем шифрования и цифровой подписи569
Лабораторная работа. Проверка шифрования электронной почты569
Упражнение 1* Перехват нешифрованного сообщения*.. 570
Упражнение 2. Получение сертификата и настройка шифрования570
Занятие 5. Устранение проблем технологий, обеспечивающих поддержку Exchange Server 2003 **,. 572
Устранение проблем разрешения имен узлов573
Как работает ARP* 573
Устранение проблем DNS 576
Отказ DNS-сервера 577
Сервер не зарегистрирован в DDNS 577
Отрицательное кэширование *578
Проблемы DHCP 578
Устранение проблем AD 579
Устранение проблем связи580
Утилита Ping 580
Утилита Агр 581
Утилита Nbtstat581
Утилита Netstat582
Утилита Tracert582
Утилита Pathping 583
Лабораторная работа. Управление ARP-кэшем и анализ ARP-пакета584
Упражнение 1. Управление ARP-кэшем 584
Упражнение 2. Использование Network Monitor для вывода содержания широковещательного ARP-фрейма 586
Практикум по устранению проблем587
Об этой книге
Вас приветствует учебный курс Microsoft ^Установка и управление Microsoft Exchange Server 2003*. Эта книга содержит материалы, необходимые для сдачи сертификационного экзамена 70-284 н обучения эффективному внедрению, управлению и адммннст* рированию Exchange Server 2003 в практических условиях. В конце концов, хороший балл на экзамене не значит практически ничего, если вы не можете применить свои знания в реальной промышленной среде Exchange Server. Достигнуть поставленной цели вам помогут теоретические и практические сведения, реальные примеры, практические упражнения н вопросы для самопроверки*
Примечание За подробными сведениями о том, как стать сертифицированным специалистом Microsoft (Microsoft Certified Professional), обращайтесь к разделу введения ^Программа подготовки сертифицированных специалистов Microsoft».
Целевая аудитория
Наша книга предназначена для специалистов в области информационных технологий (Information Technology, IT), намеренных сдать экзамен 70-284, Implementing and Managing Microsoft Exchange Server 2003; кроме того, она, вероятно, будет интересна всем тем, кто хочет разобраться в процессах разработки, внедрения, управления и поддержки решений Exchange Server в средах Microsoft Windows.
Примечание Требования, предъявляемые при сдаче сертификационных экзаменов, могут изменяться по усмотрению компании Microsoft без предварительного уведомления претендентов.
Предварительные требования
К читателям этого пособия предъявляются следующие требования.
Кандидат на сдачу экзамена должен обладать минимум годовым опытом внедрения и управления систем обмена сообшениями Exchange Server в средах, отвечающих сле- д)тошим характеристикам:
от 250 до 5 000 пользователей или больше;
три или больше физических площадок;
сетевые службы и ресурсы, например: несколько версий Exchange Server, служба каталогов Active Directory (AD), прокси-сервер, брандмауэр, прочие системы обмена сообщениями, система доменных имен (Domain Name System, DNS), доступ к Интернету, интрасеть, мобильные клиентские компьютеры;
два или больше компьютеров с установленной системой Exchange Server;
сложная схема соединения: подключение филиалов и отдельных пользователей на удаленных площадках к корпоративной сети и подключение корпоративных сетей к Интернету,
О компакт-диске
Вместе с книгой поставляется сопроводительный компакт-диск. Записанные на нем материалы (они перечислены ниже) во многих отношениях дополняют изложение.
Microsoft Press Readiness Review Suite на платформе Measure Up. Это набор тестов и обзоров с вопросами разной степени сложности, предусматривающий несколько режимов тестирования. С его помощью вы сможете оценить степень усвоения изложенных в книге понятий и разработать для себя индивидуальный учебный план.
Электронная версия книги (eBook). Подробнее о ней речь пойдет в разделе введения «eBook*.
Энциклопедия безопасности Microsoft (Microsoft Encyclopedia of Security) в формате электронной книги (eBook) содержит полные и самые современные справочные материалы по безопасности.
За дополнительными сведениями о книге и о сопроводительном компакт-диске (в частности, за ответами на часто задаваемые вопросы по установке и применению последнего) обращайтесь к сайту службы технической поддержки Microsoft Press по адресу Л ttp：//w ww. т i с го soft, со m/mspress/support/. Кроме того, для связи с сотрудниками издательства существует адрес электронной почты tkinput^microsoft.сот и почтовый адрес: Microsoft Press, Attention: Microsoft Press Technical Support, One Microsoft Way, Redmond, WA 9805 2-6399,
Структура книги
В начале каждой главы приводится оглавление рассматриваемых в ней тем экзамена, обосновывается значимость проблем, определяются ситуации их практического применения, перечисляются предварительные условия (если таковые имеются) выполнения представленных в главе заданий.
Каждая глава делится на занятия. Занятия включают одно или несколько практических упражнений. Предполагается, что с их помощью вы должны превратить теоретическое знание материала в умение пользоваться им в реальных ситуациях; помимо этого, лабораторные работы позволяют повысить уровень владения рассматриваемыми приложениями.
За занятиями главы следуют примеры из практики — ситуации, требующие практического применения ваших знаний, Ваша задача — в несколько этапов реализовать решение конкретной проблемы. В некоторых случаях завершающие части глав расширяются за счет практикумов но устранению неполадок. В них содержится анализ труд-
ностей, которые иногда встречаются в процессе практического применения полученных знаний.
Примечание В подобных врезках вы найдете полезные практические сведения, собранные ИТ-профессионалами, такими же, как и вм, в ходе работы в реальных средах.
Замечания по форматированию
В руководстве встречаются врезки нескольких типов:
Совет указания на оптимальные л неочевидные способы выполнения задач.
Внимание! сведения, необходимые для выполнения задач, указания по поводу вероятной потери данных и физических повреждениях, а также рекомендации по усилению системы защиты.
Примечание дополнительные сведения, ссылки на внешние источники информации, -а также советы и рекомендации по планированию конкретных решений.
Подготовка к экзаменам акцент на проблемах, которыми необходимо овладеть до сертификационного экзамена.
Условные обозначения
В книге используются следующие условные обозначения.
Названия элементов интерфейса Windows, с которыми вы работаете при помощи мыши или клавиатуры, набраны строчными буквами полужирного начертания, первыми приводятся названия из англоязычной версии, следом в скобках ——назва- ния на русском языке, например: Start (Пуск).
Курсив в синтаксических выражениях указывает поля для подстановки переменных. Также курсивом выделяются новые понятия и термины, названия служб.
Имена файлов и папок выделяются Заглавными буквами за исключением случаев, когда пользователь должен ввестн их напрямую. Если не указано иначе, для ввода имен файлов в диалоговых окнах и командной строке можно использовать только буквы нижнего регистра.
Большинство расширений файлов приводится в нижнем регистре.
Аббревиатуры записываются только буквами в верхнем регистре.
Моноширинным шрифтом выделяются примеры кодов, экранного текста, а также команды, вводимые в командной строке или в файлах инициализации.
В квадратные скобки || в синтаксических выражениях заключаются необязательные элементы. Например, \имя_фаила] в синтаксисе команды указывает, что пользователь может ввести для данной команды имя файла. Однако вводить следует только информацию, указанную внутри скобок, но не сами скобки.
В фигурные скобки {} в синтаксических выражениях заключаются обязательные элементы. Вводите только информацию, указанную внутри скобок, но не сами скобки.
Соглашения по сочетаниям клавиш
Знак плюс (+) между несколькими именами клавиш означает, что их нужно нажать одновременно. Пример: AIl+Tab.
Запятая, применяемая как разделитель между несколькими именами клавиш, свидетельствует о том, что их нужно нажимать не вместе, а по отдельности< Пример: Alt, F, X. Последовательность Alt+W, L означает, что сначала нужно одновременно нажать клавиши Alt и W, а затем, отпустив их, нажать L.
С чего начать?
Как вы уже знаете, в этом пособии приводится ряд практических заданий, помогающих перейти от простого понимания теории к разработке практических навыков, необходимых для внедрения и управления Exchange Server 2003 в реальных условиях. Сейчас вам предстоит подготовить для себя среду обучения.
Для успешного выполнения некоторых процедур вам понадобятся два компьютера, соединенных между собой или подключенных к крупной сети* На обоих должна быть установлена операционная система Windows Server 2003 и Exchange Server 2003.
Внимание! Некоторые задания подразумевают изменение конфигурации серверов. В условиях подключения к более крупной сети не исключаются неблагоприятные последствия подобных действий. Поэтому, прежде чем переходить к выполнению заданий, проконсультируйтесь с сетевым администратором.
Требования к аппаратному обеспечению
Ниже перечислены элементы минимальной конфигурации компьютеров, с которыми вам предстоит работать. Все установленные в этих системах аппаратные устройства должны присутствовать в спнскс совместимого оборудования для Microsoft Windows Server 2003.
Процессор Pentium 133 или лучше.
Минимальные характеристики RAM: 256 Мбайт
200 Мбайт свободного пространства на системном диске.
500 Мбайт свободного пространства в разделе, где установлен Exchange Server 2003.
Привод CD-ROM или DVD-ROM.
Мышь Microsoft или совместимое указательное устройство.
Требования к программному обеспечению
Для выполнения приведенных в этом пособии процедур требуются следующие программные средства:
Microsoft Windows Server 2003, Enterprise Edition.
Microsoft Exchange Server 2003, Enterprise Edition.
Инструкции по установке
Настройте компьютер в соответствии с инструкциями производителя.
Для выполнения упражнений, требующих использования сетевых компьютеров» убедитесь, что компьютеры могут обмениваться друг с другом данными. Конфигурация компьютеров может меняться в зависимости от требований, предъявляемых в главе; таким образом, список требований будет приводиться в начале каждой главы. Чаще всего будет достаточно двух компьютеров, настроенных в качестве серверов, однако некоторые упражнения требуют добавления третьего компьютера.
Внимание! Если компьютера подключены к более крупной сети, обратитесь к сетевому администратору и убедитесь в том, что имена компьютеров, доменное имя и другие данные, применяемые в процессе настройки Windows Server 2003 и Exchange Server 2003, не препятствуют проведению сетевых операций. При обнаружении конфликта попросите сетевого администратора предоставить другие данные и впоследствии пользуйтесь только ими.
Readiness Review Suite
В состав прилагаемого компакт-диска входит практический тест, состоящий из 300 примерных экзаменационных вопросов, который включает также 125 дополнительных вопросов, предназначенных для последовательной проверки рассмотренных в учебнике тем. Используйте данное средство для повышения уровня подготовки перед сдачей экзамена и определения областей, требующих более тщательного изучения.
Процедура установки теста
Вставьте в привод прилагаемый компакт-диск.
Примечание Если на компьютере отключена функция автозапуска (AutoRun), обратитесь к файлу Readme.txt на компакт-диске.
В меню пользовательского интерфейса щелкните Readiness Review Suite.
eBook
В состав компакт-диска также входит электронная версия учебного курса (eBook) в формате PDF, которую можно просмотреть при помощи Adobe Acrobat Reader.
Как работать с книгой
Вставьте в привод прилагаемый компакт-диск.
Примечание Если на компьютере отключена функция автозапуска (AutoRun)t обратитесь к файлу Readnie.txt на компакт-диске.
В меню пользевательского интерфейса щелкните Training Kit eBook. Точно так же можно открыть любую другую книгу из состава компакт-диска.
Программа подготовки сертифицированных специалистов Microsoft
Программа подготовки сертифицированных специалистов Microsoft — лучший способ получить представление о новейших продуктах и технологиях компании Microsoft. Экзамены и программы сертификации в рамках этой программы подтверждают мастерство проектировщиков, разработчиков, специалистов по реализации и поддержке решений, основанных на технологиях н продуктах Microsoft. Обладатели сертификатов Microsoft получают признание среди работодателей и возможность развития карьеры. Сертификация предоставляет многочисленные преимущества специалистам, работодателям и компаниям.
Примечание Подробнее о преимуществах программы МСР вы можете узнать на сайте http://www.microsoft.com/traincert/start/itpro, asp.
Сертификаты
В рамках программы МСР предусмотрено несколько сертификатов, соответствующих различным областям технического знания.
Сертифицированный специалист Microsoft (Microsoft Certified Professional, МСР) Обладатели этих сертификатов владеют глубокими знаниями, по меньшей мере, одной операционной системы Microsoft Windows или архитектурно значимой платформы* Специалист МСР может заниматься реализацией продуктов/технологий Microsoft в рамках корпоративных бизнес-решений.
Сертифицированный разработчик программных решений Microsoft (Microsoft Certified Solution Developer, MCSD) Обладатели этих сертификатов признаются профессиональными разработчиками, способными анализировать, проектировать и разрабатывать корпоративные бизнес-решения с применением средств разработки и технологий Microsoft, в том числе — в среде Microsoft .NET Framework,
Сертифицированный разработчик приложений Microsoft (Microsoft Certified Application Developer, MCAD) Обладатели этих сертификатов способны разрабатывать, тестировать, размещать и сопровождать высокопроизводительные приложения с применением средств и технолошй Microsoft, в том числе среды Microsoft Visual Studio .NET и Web-сервисов XML
Се|ггифицированмый системный инженер Microsoft (Microsoft Certified Systems Engineer, MCSE) Обладатели этих сертификатов способны проводить эффективный анализ коммерческих требований, проектировать и реализовывать инфраструктуру бизнес- решений на базе операционных систем Microsoft Windows и Microsoft Server 2003.
Сертифицированный системный администратор Microsoft (Microsoft Certified Systems Administrator, MCSA) Обладатели этих сертификатов способны администрировать сетевые и системные среды на базе Microsoft Windows и Microsoft Server 2003, а также проводить поиск неисправностей.
J
Сертифицированный администратор баз данных Microsoft (Microsoft Certified Database Administrator, MCDBA) Обладатели этих сертификатов способны проектировать, реализовывать и администрировать базы данных, работающие под управлением Microsoft SQL Server.
Сертифицированный преподаватель Microsoft (Microsoft Certified Trainer, MCT) Обладатели этих сертификатов подготовлены как с педагогической, так и с технической точки зрения к преподаванию по программе официальных учебных курсов Microsoft в центрах сертифицированного тсхнмнекого обучения Microsoft (Microsoft Certified Technical Education Center, CTEC).
Требования к претендентам на сертификацию Microsoft
Требования к претендентам различаются в зависимости от конкретной программы сертификации, согласно продуктам и профессиональным обязанностям, которые в них затрагиваются.
Чтобы стать сертифицированным специалистом Microsoft, претендент должен сдать строгие сертификнионные экзамены, в ходе которых объективно оценивается его квалификация и профессиональная пригодность. Экзамены, разработанные с участием лучших специалистов отрасли, призваны подтвердить способность претендента исполнять роли и выполнять задачи, связанные с теми или иными продуктами. Экзаменационные вопросы отражают механизм применения продуктов Microsoft в реальной практике.
Претенденты на получение сертификата МСР обязаны сдать один сертификационный экзамен. Помимо этого, для упрочения навыков работы с другими продуктами, средствами разработки и настольными приложениями Microsoft, они могут по желанию сдать любые другие экзамены.
Претенденты на получение сертификата MCSD обязаны сдать три обязательных экзамена и один экзамен по выбору (для претендентов на получение сертификата MCSD по Microsoft .NET количество обязательных экзаменов увеличивается до четырех).
Претенденты на получение сертификата MCAD обязаны сдать два обязательных экзамена и один экзамен по выбору, в зависимости от выбранной специализации.
Претенденты на получение сертификата MCSE обязаны сдать пять обязательных экзаменов и два экзамена по выбору,
Претенденты на получение сертификата MCSA обязаны сдать три обязательных экзамена и один экзамен по иыбору.
Претенденты на получение сертификата MCDBA обязаны сдать три обязательных экзамена и один экзамен по выбору.
Претенденты на получение сертификата МСТ должны продемонстрировать профессиональную пригодность (как с педагогической, так и с технической точек зрения) для ведения выбранного официального учебного курса Microsoft* Каждый год сертифицированные специалисты МСТ обязаны проходить повторную сертификацию, подтверждая соответствие своих знаний текущему состоянию технологии. За дополнительными сведениями о том, как стать сертифицированным преподавателем Microsoft, обращайтесь к материалам сайта fittp;//www.microsoft,com/traincert/mcp/mct/ млн к сотрудникам ближайшего регионального сервис-центра.
Техническая поддержка
Авторы сделали все возможное для того, hto&j обеспечить точность сведений, представленных в книге и на сопровождающем компа^гг-диске. Если у вас есть какие-либо комментарии» вопросы или предложения относительно книги и диска, пожалуйста, отправьте их нам в Microsoft Press одним из следующих способов:
E-mail: tkinput@microsofi.com
Почтовый адрес: Microsoft Press
Attn: MCSA/MCSE Self-Paced Training Kit (Exam 70-284):
Implementing and Managing Microsoft Exchange Server 2003, Editor
One Microsoft Way
Redmond, WA 98052-6399
За до пол н ительны м и сеедениями о данной книге и сопровождающем ее компактдиске (в том числе за ответам и на часто задаваемые вопросы об установке и применении материалов диска) обращайтесь к Wfeb-сайту технической поддержки Microsoft Press по адресу http://wwwjnicrosoft.com/msprass/suppor!/. Если вы хотите напрямую подключиться к базе знаний Microsoft Press и ввести конкретный запрос, зайдите на страницу http://www. microsofi.com/tnspress/support/search.asp. Техническая поддержка программных продуктов Microsoft осуществляется на сайте hup://support.microsoft^сот/.
За информацией о приобретении полной версии любого программного обеспечения Microsoft обращайтесь в Microsoft Sales по телефону (800) 426-9400 или на веб-узел http://wwwt microsofi. сот.
Microsoft Exchange Server 2003 и Active Directory
Занятие 1 * Обзор Active Directory2
Занятие 2. Мнтегр叫мн Exchange Server 2003 в Active Directory7
Занятие 3. Интеграция протоколов и служб Exchange Server 2003 и Windows Server 200310
Темы экзамена
Подготовка среды для развертывания Exchange Server.
В этой главе
Вплоть до версии Microsoft Exchange Server 5*5 администрирование Exchange Server не зависело от структуры Microsoft Windows NT Server. У Exchange Server был собственный каталог, и он был привязан к Windows NT только для проверки подлинности. Почтовый ящик не был напрямую связан с объектом пользователя в Windows NT его можно было привязать к любому пользователю или группе безопасности. На практике, в домене NT к учетной записи пользователя зачастую было привязано несколько почтовых ящиков.
Начиная с версии Microsoft Exchange Server 2000, интеграция с инфраструктурой доменов Windows, в основе которой лежит служба каталогов Active Directory, стала намного теснее. Это верно и для Exchange Server 2003, Очевидно, что переоценить значимость понимания Active Directory (AD) администраторами Exchange невозможно. В этой главе вы познакомитесь с концепциями, лежащими в основе AD, и узнаете, каким образом в службу каталогов интегрируется Exchange Server 2003.
Прежде всего
В первую очередь эта глава посвящена концепциям, которые необходимо понять и учитывать перед развертыванием Exchange Server 2003. В данной главе вы не найдете инструкций или руководств, однако помните, что для того, чтобы стать настоящим администратором, вам чрезвычайно важно понять взаимоотношения между Exchange Server 2003 и AD* Хотя здесь нет практических упражнений, изучив фундаментальные концепции, вы сможете качествен но подготовиться к заданиям, которые ожидают вас в следующих главах учебного курса.
Подразделения
Одно из улучшений, появившихся в AD,—— это возможность оргянизовать сеть логически, скрыв от конечных пользователей физическую структуру сети. В AD используется специальный контейнер — подразделение (organizational unit, OU). Он позволяет организовывать объекты домена так, чтобы упростить их администрирование. При помощи подразделений домен можно разбить на административные отделы, отражающие функциональную или физическую структуру компании (но не сети!).
В состав подразделения могут входить учетные записи пользователей, компьютеры» принтеры, обшие папки, приложения и любые другие объекты домена. Используя подразделения, административные функции внутри домена можно разделить между разными людьми, не предоставляя им права на управление всем доменом. Это было невозможно до появления AD.
Подразделение — это наименьший контейнер, которому можно назначить административные права. Это означает, что подразделения можно использовать для делегирования полномочий и управления внутри домена; в действительности, подразделения могут работать как дочерние домены, избавляя вас от создания дополнительных доменов.
Глобальные каталоги
На контроллерах домена хранится полная копия базы данных AD домена, чтобы пользователи и службы могли в любой момент получить информацию о любом объекте домена. Эта схема прекрасно работает в домене, но вызывает проблемы при переходе из одного домена в другой. AD решает данный вопрос при помощи особой ограниченной базы данных, называемой глобальным каталогом (global catalog). В нем хранятся частичные реплики (копии) каталогов других доменов. Сам каталог хранится на контроллерах доменов, настроенных как серверы глобального каталога. Эти серверы предназначены не только для хранения глобального каталога, но также для поддержки обычных баз данных соответствующих доменов.
Назначение глобального каталога
В АО глобальный каталог выполняет две основные функции. Они относятся к процессу входа в систему и запросам к AD.
В среде с несколькими доменами, работающей в основном режиме Windows 2000 или режиме Windows Server 2003, глобальный каталог необходим для входа в сеть. Для учетной записи пользователя, пытающегося войти в сеть, информация о членстве в универсальных группах извлекается из глобального каталога. Если на момент входа в сеть глобальный каталог недоступен, а учетная запись пользователя является внешней по отношению к локальному домену, ему будет разрешено войти только на локальную машину.
Если же учетная запись является частью локального домена, обработка запроса на проверку подлинности будет произведена на контроллерах данного локального домена. Глобальный каталог используется, только когда для учетной записи пользователя или объекта необходима аутентификация в другом домене.
Запросы составляют большую часть трафика AD, а запросы к объектам (принтерам, службам и т, л.) встречаются намного чаще, чем обновления баз данных. В простой
среде с одним доменом каталог всегда доступен для подобных запросов. Но если среда очень сложна и в ней присутствует множество доменов, непозволительно допускать, чтобы каждый запрос проходил все домены, так как при этом будет генерироваться непомерно высокий трафик.
Глобальный каталог предоставляет некое подмножество информации каталога каждому домену в лесу. Это позволяет обрабатывать запросы в ближайшем глобальном каталоге, экономя время и пропускную способность. Если серверами глобального каталога служат несколько контроллеров домена, время ответа сокращается. С другой стороны, добавление каждого очередного сервера глобального каталога увеличивает объем трафика репликации в сети.
Примечание В отличие от обычной базы данных AD, глобальный каталог доступен только для чтения.
Серверы глобального каталога
AD автоматически создаст глобальный каталог на первом контроллере домена в лесу. В каждом лесу должен быть, по меньшей мер% один глобальный каталог. В среде с несколькими сайтами удобно превращать в серверы глобального каталога по одному контроллеру домена из каждого сайта. Хотя это можно проделать с любым контроллером домена, разрабатывая структуру сети, необходимо руководствоваться чувством меры. При увеличении количества серверов глобального каталога уменьшается время ответа на пользовательские запросы. Но одновременно с этим объем трафика репликации в среде увеличивается.
Хозяева операций
Обычно репликация в среде AD осуществляется между равноправными контроллерами домена. В противоположность этому, в ранних версиях Windows NT основной контроллер домена (primary domain controller, PDC) нес ответственность за регистрацию всех изменений политики безопасности и репликацию их на резервные контроллеры домена (backup domain controllers, BDC).
В среде с равноправными участниками некоторые операции теряют эффективность. AD решает этот вопрос, позволяя только одному контроллеру домена вносить изменения определенного типа. Такой контроллер домена называется хозяином операций (operations master). В AD существует пять различных ролей хозяев операций: Хозяин схемы (Schema Master), Хозяин именования доменов (Domain Naming Master), Хозяин RID (Relative ID Master, RID Master), Эмулятор PDC (PDC Emulator) и Хозяин инфраструктуры (Infrastructure Master). Роли Хозяин схемы и Хозяин именования доменов работают на уровне леса и существуют в лесу в единственном экземпляре. Роли Хозяин RJD, Эмулятор PDC н Хозяин инфраструктуры работают на уровне домена и присутствуют в каждом домене леса. Далее перечислены функции ролей хозяев операций:
роль Хозяин схемы контролирует все обновления и модификации схемы. Схема управляет определениями всех объектов каталога и связанными атрибутами объекта;
роль Хозяин именования доменов контролирует добавление и удаление доменов нз леса;
роль Хозяин RID управляет распределением последовательных номеров между контроллерами домена. Этот хозяин назначает уникальную последовательность относительных и де нт и фи к аторов (R1D) каждому контроллеру домена* Когда контроллер домена создает новый объект, он назначает объекту идентификатор безопасности (security ID, SID), который должен быть уникальным в пределах домена и состоять из идентификатора S1D домена н идентификатора RID. SID домена — это постоянный идентификатор в пределах домена, тогда как RID назначается объекту контроллером домена. Когда контроллер домена раздает все RID, назначенные ему Хозяином RID, он получает от этого хозяина новую последовательность идентификаторов RID. Если Хозяин RID недоступен и пул контроллера домена пуст, создание дополнительных объектов невозможно;
■ роль Эмулятор PDC используется, если в домене присутствуют компьютеры, не поддерживающие AD. Этот хозяин функционирует как основной контроллер домена Windows NT для старых клиентских операционных систем и резервных контроллеров домена Windows NT* Эмулятор РОС обрабатывает изменения паролей и в пределах домена имеет приоритет при обновлении паролей. Если другой контроллер домена нс может проверить подлинность пользователя из-за неверно указанного пароля, запрос отправляется на Эмулятор PDC\
■ роль Хозяин ин фра структуры несет ответственность за поддержку всех междоменных ссылок на объекты. Другими словами. Хозяин инфраструктуры сообщает определенным объектам (таким, как группы), что другие объекты (такие, как пользователи в другом домене) были перемещены или подверглись любым другим модификациям. Такие обновления необходимы только в среде с несколькими доменами. Если домен один, то обновления известны всем контроллерам домена и необходимости в данной роли нет. Аналогично, если все контроллеры домена также представляют собой серверы глобального каталога, то всем им известно о любых изменениях “ помощь хозяина инфраструктуры не требуется.
По умолчанию AD назначает все пять ролей хозяев операций первому контроллеру домена, установленному в лесу. В простой сетевой среде назначение ролей может не меняться. Но по мере расширения сети некоторые роли приходится переназначать другим контроллерам домена.
Закрепление материала
Ответив на вопросы, приведенные ниже, вы сможете лучше усвоить основные темы занятия. Если вы не сумеете ответить на вопрос, повторите материал занятия и попытайтесь ответить снова. Ответы для самопроверки — в разделе «Вопросы и ответы» в конце главы.
Вы разрабатываете план развертывания Exchange Server 2003. Вас попросили включить доменные деревья con toso хат и fabrikam.com, входящие в один лес Exchange Server 2003. Можно ли это сделать в существующей структуре AD или сначала необходимо изменить эту структуру?
Вы — администратор Exchange Server 2003. Вы регулярно создаете новые учетные записи пользователей для временных работников, но периодически получаете со-
общения о том, что объект создать невозможно. Обычно вы прерываете процесс м повторяете его позже или создаете новую учетную запись с другого сервера. Исходя из этого решения, вы считаете, что проблема кроется в настройках или распределении прав. Что ешс может быть причиной ошибок?
Недоступен Эмулятор PDC.
Недоступен Хозяин RID.
Недоступен Хозяин схемы.
Недоступен Хозяин инфраструктуры.
ИТ-директор вашей компании вернулся с семинара, посвященного Windows Server 2003, н жаждет поделиться с вам и новыми знаниями. Он утверждает, что все серверы в вашем лесу AD необходимо сделать серверами глобального каталога, чтобы уменьшить время ответа на пользовательские запросы, особенно запросы к Exchange Server2003. Он уверен, что это должно заметно улучшить ситуацию, так как ваша организация состоит из четырех доменных деревьев, в каждом из которых по несколько дочерних доменов. Согласны ли вы с ним? Почему да или почему нет?
Занятие 2. Интеграция
Exchange Server 2003 в Active Directory
Exchange Server 2003 тесно связан c AD: Exchange Server 2003 использует AD как механизм хранения своих данных (хотя содержимое сообщений и журналы транзакций все также записываются в собственную базу данных Exchange Server 2003), В этом и состоит отличие новой версии от Exchange Server 5.5 (и более ранних версий), которые поддерживали собственные каталоги и базы данных, независимые от операционной системы, и даже использовали собственную инфраструктуру репликации. Чтобы эффективно развернуть Exchange Server 2003 в среде AD, необходимо понять, каким образом Exchange Server 2003 хранит данные в AD.
Изучив материал этого занятн% вы сможете:
/ понять, каким образом Active Directory делится на контексты именования;
/ узнать, как Exchange Server 2003 использует серверы глобального каталога;
/ понять, как Exchange Server 2003 использует группы Active Directory.
Продолжительность занятия — около 15 минут.
Контексты именования
AD подразделяется на контексты именования. Существует три контекста именования: ■ Domain (Домен);
Configuration (Конфигурация);
Schema (Схема).
Перечисленные контексты именования определяют границы и структуру базы данных AD, и для них репликация и права доступа могут настраиваться отдельно.
Контекст именования домена
В контексте именования домена хранятся все объекты домена для Exchange Server 2003, в том числе объекты получателей (Recipient), такие как пользователи, группы и контакты. Exchange Server 2003 расширяет атрибуты, которые для данных типов объектов предусмотрены в AD* Это означает, что в отличие от Exchange Server 5.5, почтовые ящики Exchange Server 2003 и учетные записи пользователей AD не являются независимыми объектами. Например, в Exchange Server 2003 одновременно с созданием почтового ящика определяется и учетная запись пользователя, и вам не приходится создавать в Exchange Server объект почтового ящика и привязывать к нему учетную запись пользователя.
Контекст именования конфигурации
В контексте именования конфигурации хранится информация о физической структуре организации Exchange, например маршрутные группы и коннекторы. AD реплицирует эти данные на все контроллера! домена в лесу, обозначая, таким образом, границы безопасности организации Exchange.
Контекст именования схемы
В контексте именования схемы содержится информация обо всех классах объектов и соответствующих атрибутах, которые могут храниться в AD. Эти данные реплицируются на все контроллеры домена в лесу. Во время развертывания Exchange Server 2003 схема AD расширяется» чтобы захватить все классы н атрибуты, относящиеся только к Exchange Server 2003. Примеры расширений схемы можно найти в настройках учетной записи пользователя в оснастке Active Directory Users And Computers (Active Directory — пользователи и компьютеры) после установки Exchange Server 2003.
Интеграция глобального каталога
Для доступа к глобальному каталогу Exchange Server 2003 использует две службы: DSProxy и DSAccess.
DSProxy
Только клиенты Microsoft Outlook 2000 и 2003 могут обращаться к глобальному каталогу напрямую, прочим клиентам это недоступно. Это стало причиной внедрения в Exchange Server 2003 проке и-службы с названием DSProxy, которая функционирует в качестве
посредника между клиентом и глобальным каталогом. DSProxy помогает клиентам Outlook получать доступ к информации в AD через интерфейс поставщика службы имен (Name Service Provider Interface, NSPI). Помимо этого, служба DS Proxy поддерживает старые клиенты интерфейса программирования приложений электронной почты (Messaging Application Programming Interface, MAPI), напрямую передавая их запросы на сервер глобального каталога. DSProxy не изучает запрос, она просто пересылает запрос на сервер и возвращает результат. Этот процесс прозрачен для пользователя.
DSAccess
Не только Exchange Server 2003, но и другие службы AD используют функции глобального каталога, поэтому важно сократить количество запросов Exchange Server 2003. Служба DSAccess поддерживает кэш доступа к каталогу, в котором в течение заданного администратором промежутка времени хранится недавно запрошенная информация. Это позволяет снизить количество запросов к серверам глобального каталога. Однако если размер кэша и время хранения данных будут чрезмерно большими, то это приведет к возникновению проблем со слишком старыми данными. В то же время слишком маленький размер кэша н короткий интервал хранения данных вызовет уменьшение производительности.
Интеграция групп Active Directory
Использование групп безопасности и групп распространения — это еще одна возможность Exchange Server 2003, тесно связанная с AD, Версии Exchange Server до Exchange Server 2000 поддерживали собственные списки распространения, состоявшие из получателей, являвшихся членами организации Exchange (почтовых ящиков, специальных получателей и друшх списков распространения). Такие списки распространения существовали только в пределах Exchange н никоим образом не были связаны с базой данных учетных записей пользователей Windows. Exchange Server 2003 не поддерживает собственные списки распространения. Вместо этого расширяются группы безопасности и группы распространения AD, и им назначаются адреса электронной почты. Таким образом, получателем почты может быть группа, причем в этом случае сообщение получат все члены этой группы*
Закрепление материала
Ответив на вопросы, приведенные ниже, вы сможете лучше усвоить основные темы занятия. Если вы не сумеете ответить на вопрос, повторите материал занятия и попытайтесь ответить снова. Ответы для самопроверки — в разделе «Вопросы н ответы» в конце главы.
L Вы — консультант Exchange Server 2003. К вам обратилась компания Contoso, Ltd. и попросила вас проанализировать их сетевую среду и дать рекомендации по подготовке к переходу с Windows NT 4 Server и Exchange Server 5.5 на Windows Server 2003 Active Directory и Exchange Server 2003. Руководители компании беспокоятся насчет совокупной стоимости владения, в частности, не придется ли дублировать пользовательскую информацию в Windows и Exchange. Что бы вы могли посоветовать этой компании?
Какой контекст именования AD отвечает за хранение объектов получателей Exchange Server 2003?
Контекст именования домена.
Контекст именования схемы*
Контекст именования конфигурации.
В чем состоит основное предназначение службы DSAccess?
Предоставлять доступ к информации AD клиентам Microsoft Outlook и MAPL
Хранить информацию обо всех объектах AD и их атрибутах.
Хранить информацию о маршрутных группах и коннекторах, использующихся для доступа к другим сайтам в организации Exchange.
Поддерживать кэш каталога, предназначенный для уменьшения количества запросов к глобальному каталогу.
Занятие 3. Интеграция протоколов и служб Exchange Server 2003 и Windows Server 2003
Помимо того, что Exchange Server 2003 можно интегрировать в Active Direciory, также его можно связать со службами серверных операционных систем Windows. Exchange Server 2003 можно устанавливать на компьютеры под управлением Windows 2000 Server, но, чтобы воспользоваться всеми преимуществами новых возможностей, следует использовать Windows Server 2003. Так как в Windows 2000 Server и Windows Server 2003 предусмотрены возможности передачи сообщений, такие как простои протокол пересылки почты (Simple Mail Transport Protocol, SMTP), сетевой протокол пересылки новостей (Network News Transfer Protocol, NNTP) и протокол передачи гипертекста (Hypertext Transfer Protocol, HTTP), Exchange Server 2003 может использовать эти службы Windows, а не дублировать их собственными службами. В противоположность этому, в Exchange Server 5.5 (и более ранних версиях) для доступа к службам Outlook Web Access (OWA) и сетевым конференциям использовались только информационные службы Интернета (Internet Information Services, 1IS) и ничего больше»
Изучив материал этого занятия, вы сможете:
/ понять, каким образом Exchange Server 2003 использует возможности IIS 6.
Продолжительность занятия — около 15 минут.
Exchange Server 2003 и IIS 6
Службы IIS входят в состав серверных операционных систем Windows и обеспечивают функционирование нескольких основных служб Exchange Server 2003, В Windows Server 2003 включена версия Internet Information Services (HS)6, В новой версии IIS впервые представлен режим изолированных рабочих процессов (Worker Process Isolation),
обеспечивающий большую надежность и безопасность веб-серверов. Режим Worker Process Isolation гарантирует, что все процессы аутентификации и авторизации, веб-приложения и расширения API Интернет-сер&ера (Internet Server Application Programming Interface, ISAPI), связанные с определенным приложением, будут изолированы от всех остальных программ. Во время установки Exchange Server 2003 на компьютер под управлением Windows Server 2003 программа установки автоматически переключает IIS 6 в режим Worker Process Isolation. Также при этом включаются расширения ISAP1, ведь, во время установки Windows Server 2003 по умолчанию расширения 1SAP1 не могут загружаться. В этом заключается еще одно отличие от предыдущих версий Windows и I1S, настройка по умолчанию которых нс обеспечивала такого уровня безопасности. Для работы Exchange Server 2003, в частности, таких служб, как OWA, WzbDAV и Exchange Web Forms, необходимы определенные расширения ISAP1. Программа установки Exchange Server 2003 воючает и настраивает необходимые расширения без участия пользователя.
Интеграция Exchange Server 2003 со службами IIS задействует следующие службы:
SMTP;
NNTP;
Веб (World Wide Web, WWW).
Служба SMTP
В отличие от Exchange Server 5.5 и предыдущих версий, в Exchange Server 2003 не предусмотрены собственные службы SMTP. Базовая служба SMTP, а также IIS 5 и 6 есть в Windows 2000 Server и Windows Server 2003, соответственно. Поэтому Exchange Server 2003 предоставляет услуги электронной почты, основываясь на возможностях операционных систем. Exchange просто расширяет встроенную службу SMTR добавляя ей необходимые функции.
В состав Windows Server 2003 также входит служба Post ОГПсе Protocol 3 (POP3), перечисленная в Windows Соtnponenis Wizard (Мастере компонентов Windows) в разделе Email Services (Службы элеюронной почты). Exchange Server2003 не использует эту служб｝； и при развертывании Exchange Server 2003 ее устанавливать не следует, так как в Exchange реализована более надежная поддержка протоколов POP3 и Internet Message Access Protocol 4 (IMAP4).
В службе SMTP в Exchange Server 2003 есть и несколько других дополнений. Например, сетевых администраторов может порадовать встроенная поддержка черных списков реального времени (Real-Time Blacklists, RBL) и улучшенная поддержка антивирусного ПО. Борьба со спамом и вирусами занимает немалую долю рабочего времени администратора —автоматические функции могут снять с его плеч часть нагрузкн.
Служба NNTP
Exchange Server 2003 также использует встроенную службу【IS NNTP. Она обеспечивает пользователям доступ к сетевым конференциям в локальной сети или в Интернете. Доступ осуществляется с использованием общих папок Exchange Server 2003, а безопасность настраивается на уровне организации Exchange Server 2003, Службу NNTP также можно испол ьзовать для совместного доступа к общим папкам из различных организаций. Exchange Server 2003 не изменяет м не расширяет службу HS NNTP, в отличие от службы SMTP.
Служба WWW
Служба OWA интегрируется в IIS, и се не нужно устанавливать на тот же сервер, куда устанавливается Exchange Server 2003. Благодаря интеграции службы можно установить куда угодно в пределах AD, получив в итоге гибкое и хорошо масштабируемое решение для передачи сообщений. OWA обеспечивает клиентам доступ к почтовому ящику Exchange через веб-обозреватель. Для передачи данных служба 0WA использует в качестве транспортного средства протокол HTTP, являющийся частью службы WWW.
Пользователи, на компьютерах которых установлен обозреватель Microsoft Internet Explorer 5 или более поздней версии, могут воспользоваться преимуществами новых возможностей OWA* Ранние верснм OWA вызывали частые нарекания в связи с отсутствием базовых функций Outlook, таких как проверка орфографии, поддержка правил для почтовых сообщений, цифровых подписей, возможностей пометить сообщения как прочитанные или не прочитанные или создать общую папку. Все перечисленные функции можно найти в версии OWA, входащей в состав Exchange Server 2003. Для использования части новых возможностей, например цифровых подписей, необходим обоз* реватель Internet Explorer 6 SP1 или более поздней версии, но большинство прекрасно работают с Internet Explorer 5. Также существует базовая версия 0WA, которую могут использовать другие веб-обозреватели.
Новая функция, доступная только в Exchange Server 2003 на базе Windows Server 2003, — это возможность при помощи Outlook 2003 соединять серверы Exchange Server 2003 по протоколу HTTR Она называется < RPC поверх HTTP». В предыдущих версиях Exchange Server и IIS, для того, чтобы удаленный пользователь мог подключиться к корпоративному серверу Exchange с помощью клиента Outlook, а не 0WA, ему сначала было необходимо установить соединение в виртуальноИ частной сети (virtual private network, VPN). Причина заключалась в том, что обмен сообщениями между клиентом н сервером мог производиться только через удаленные вызовы процедур (remote procedure call, RPC). Использовать функцию RPC поверх HTTP можно только на клиентских компьютерах с ОС Windows ХР Professional SP1 или более поздней версии.
Закрепление материала
Ответив на вопросы, приведенные ниже, вы сможете лучше усвоить основные темы занятия. Если вы не сумеете ответить на вопрос, повторите материал занятия и попытайтесь ответить снова. Ответы для самопроверки ——в разделе «Вопросы и ответы» в конце главы
Вы — администратор Exchange в компании Contoso, Ltd. Вы планируете развернуть Exchange Server 2003 в домене AD на основе Windows Server 2003, ИТ-директор беспокоится о том, какой эффект Exchange Server 2003 окажет на безопасность IIS, так как он считает, что установка Exchange Server2003 снижает безопасность IIS. Как вы ответите на его беспокойства?
Какие из перечисленных служб Windows Server 2003 не используются Exchange Server 2003 для поддержки инфраструктуры передачи сообщений?
SMTP.
POP3.
Служба WWW.
NNTR
創 Пример из практики
Wide World Importers — это компания, работающая в разных странах под разными названиями. Помимо доменного имени 'wide wo г Id/ т porters, сот, она также использует имена contoso.com^ fabrikam.comу adatumxom и litwareincxom.
Консорциум компаний работает в доменной среде на основе Windows NT 4 с использованием Exchange Server 5.5 SP4* У каждой компании собственный домен, но все домены доверяют домену родительской компании w/deWorldimporters.com. Существующая структура привела к излишнему дублированию административных действий, а затраты на обслуживание пяти различных доменов Windows NT и организаций Exchange возросли до неприемлемого уровня. В результате было принято решение перейти на Windows Server 2003 и AD, сменив Exchange Server 5.5 на Exchange Server 2003. Вас наняли в качестве консультанта для содействия в реализации проекта.
■ Требование 1 Управляющий персонал выяснил, что, сократив дублирование административных действий, можно будет уменьшить затраты на обслуживание всей организации. Одна из ваших основных задач — гарантировать, что сетевые администраторы домена wideworldimporters,сот смогут эффективно управлять всеми остальными доменами, не используя существующую сложную схему доверительных отношений. Помимо этого компаниям необходим общий глобальный список адресов вместо пяти отдельных списков,
■ Требование 2 Некоторые компании, входящие в состав Wide W)rld Importers, располагаются в странах, где доступ в Интернет платный. Поэтому хотя между компаниями в различных регионах установлены соединения по виртуальной частной сети, важно минимизировать передачу трафика в глобальной сети, сгенерированного не пользователями, когда стоимость выхода в Интернет наиболее высока.
Требование 1
Псрное требование включает планирование инфраструктуры AD, отвечающей требованиям компаннн.
]. Опишите инфраструктуру леса и доменов, которая, по вашему мнению, обеспечит наиболее эффективное администрирование.
2. Объясните, каким образом количество лесов AD влияет на развертывание Exchange Server 2003*
Требование 2
Второе требование подразумевает минимизацию использования платных подключений к глобальной сети в рабочее время.
Опишите функцию AD, позволяющую организовать ресурсы так, чтобы сократить передачу трафика, сгенерированного не пользователями, в глобальной сети в рабочее время.
Как использование сайтов в данной ситуации повлияет на размещение серверов глобального каталога?
創 Рекомендации по подготовке
к экзамену
Прежде чем сдавать экзамен, повторите основные положения и термины, приведенные ниже, чтобы выяснить, какие темы нужно проработать дополнительно.
Основные положения
RPC поверх HTTP работает только в том случае, когда на клиентский компьютер установлены ОС Windows ХР Professional SP1 (или более поздняя версия) и Outlook 2003т a Exchange Server 2003 работает на базе Windows Server 2003.
В лесу Active Directory может быть только одна организация Exchange Server 2003, которая не может объединять несколько лесов.
Основные термины
Контекст именования ~ naming context — AD делится на три контекста именования: контекст именования схемы, контекст именования домена и контекст именования конфигурации. Каждый контекст именования несет ответственность за хранение различных типов данных AD.
Хозяин операций ~ operations master — Обычно контроллеры доменов в AD работают как равноправные партнеры. Однако такой способ не подходит для эффективного выполнения некоторых функций, поэтому в AD они реализованы как роли, имеющие одного хозяина. Роли Хозяин схемы и Хозяин именования доменов могут существовать в каждом лесу в единственном экземпляре. Роли Хозяин инфраструктуры, Хозяин &/О и Эмулятор PDC присутствуют на каждом контроллере домена в каждом домене леса.
Щ Вопросы и ответы
Занятие 1. Закрепление материала
Вы разрабатываете план развертывания Exchange Server 2003. Вас попросили включить доменные деревья contoso.com it fabrikam.com, входящие в один лес, в одну организацию Exchange Server 2003. Можно ли это сделать в существующей структуре AD или сначала необходимо изменить эту структуру ?
Правильным ответ: границей безопасности для организации Exchange Server 2003 является лес, а не домент поэтому два доменных дерева можно включить в одну организацию Exchange Server 2003. Если бы доменные деревья принадлежали разным лесам, вам пришлось 6м сначала перенести один из доменов в другой пес, чтобы иолучить возможность поместить оба поменп в одну организацию.
Вы — администратор Exchange Server 2003. Вы регулярно создаете новые учетные записи пользователей для временных работников, но периодически получаете сообщения о том, что объект создать невозможно. Обычно вы прерываете процесс и повторяете его позже или создаете новую учетную запись с другого сервера. Учитывая это, вы считаете, что проблема кроется в настройках или распределении прав. Что еще может быть причиной ошибок?
Недоступен Эмулятор PDC.
Недоступен Хозяин RID.
Недоступен Хозяин схемы.
Недоступен Хозяин инфраструктуры.
Правильный ответ: Ь.
ИТ-директор вашей компании вернулся с семинара, посвященного Windows Server 2003, и жаждет поделиться с вами новыми знаниями. Он утверждает, что все серверы в вашем лесу AD необходимо сделать серверами глобального каталога, чтобы уменьшить время ответа на п ол ьзо иател ьс к и с запросы, особенно запросы к Exchange Server 2003. Он уверен, что это должно заметно улучшить ситуацию, так как ваша организация состоит из четырех доменных деревьев, в каждом из которых по несколько дочерних доменов. Согласны ли вы с ним? Почему да или почему нет?
Правильный ответ: хотя увеличение количества серверов глобального каталога теоретически должно улучшить время ответа на по л ьзовательс кие запросы, объем трафика сетевой репликации при этом увеличивается. В зависимости от сети, этот дополнительный трафик может перевесить преимущества (галичия дополнительных серверов глобального каталога. Необходимо найти золотую середину между недостаточным и чрезмерным количеством серверов глобального каталога.
Занятие 2. Закрепление материала
L Вы консультант Exchange Server 2003. К вам обратилась компания Contoso, Ltd. и попросила проанализировать их сетевую среду if дать рекомендации по подготовке к переходу с Windows NT Server 4 и Exchange Server 5.5 на Windows Server 2003 Active Directory и Exchange Server 2003. Руководители компании беспокоятся насчет совокупной стоимости владения, в частности, не придется ли дублировать пользовательскую информацию в Windows и Exchange, Что бы вы могли посоветовать этой компании?
Правильный ответ: в противоположность серверу Exchange Server 5.5, который поддерживал собственный каталог, Exchange Server 2003 интегрируется в AD. В результате отпадает необходимость хранить отдельные базы данных пользователей. Exchange Server 2003 расширяет схему AD, чтобы иметь возможность дополнять объекты пользователей информацией, характсриой исключительно для Exchange (такой, как адреса электронной почты, почтовые яшики и т.п.). В конечном итоге вы получаете единую тачку управления пользователями без необходимости дублировать данные в срезах Windows и Exchange.
Какой контекст именования AD отвечает за хранение объектов получателей Exchange Server 2003?
Контекст именования домена.
Контекст именования схемы.
Контекст именования конфигурации.
Правильный ответ: а.
В чем состоит основное предназначение службы DSAccess?
Предоставлять доступ к информации AD клиентам Microsoft Outlook и MAPI.
Хранить информацию обо всех объектах AD и их атрибутах.
Хранить информацию о маршрутных группах н коннекторах, использующихся для доступа к другим сайтам в организации Exchange,
Поддерживать кэш каталога, предназначенный для уменьшения количества запросов к глобальному каталогу.
Правильный ответ: d.
Занятие 3. Закрепление материала
Вы — администратор Exchange в компании ComosoT Ltd. Вы планируете развернуть Exchange Server 2003 в домене AD на основе Windows Server 2003. ИТ-директор беспокоится о том, какой эффект Exchange Server 2003 окажет на безопасностъ 11S, так как он считает, что установка Exchange Server 2003 снижает безопасность 1IS. Как вы ответите на его беспокойство?
Правильный ответ: в прошлом безопасность 11S представляла собой определенную проблему, но в IIS 6 появился режим Worker Process Isolation, обеспечивающий лучшую безопасность за счет изолирования всех процессов и расширений, связанных с приложением. Программа установки Exchange Server 2003 автоматически переключает IIS в этот более безопасный режим.
Какие из перечисленных служб Windows Server 2003 не используются Exchange Server 2003 для поддержки инфраструктуры передачи сообщений?
SMTP.
POP3.
Служба WWW.
& NNTP.
Правильный ответ: Ь.
Пример из практики. Требование 1
Опишите инфраструктуру леса и доменов, которая, по вашему мнению, обеспечила бы наиболее эффективное администрирование.
Правильный ответ: так как управляющему персоналу необходимо умеиьшить количество дублирующихся административных действий и получить единую точку управления всеми доменами, лучше всего реализовать AD в виде одного леса, В лесу может быть
несколько доменных деревьев^ и такая схема идеально подходит дла описанной ситуации, так как на все деревья будут распространяться полномочия администраторов из групп безопасности Администраторы схемы и Администраторы предприятия. Администрировать локальные домены смогут члены группы Администраторы Оомса, чю также обеспечит необходимый уровень децентрализованного управления.
Объясните, каким образом количество лесов AD влияет на развертывание Exchange Server 2003.
Правильный ответ: границей безопасности для организации Exchange Server 2003 является лес, поэтому в случае наличия нескольких лесов вам понадобится несколько организаций Exchange. Это противоречит требованиям компании, которой необходимо, чтобы все домены входили в одну организацию Exchange и могли исполыовать общий глобальный список адресов. Чтобы все домены оказались в одноП организации Exchange, необходимо реализовать структуру с одним лесом, в который входит несколько доменных деревьев. Exchange Server 2003 поддерживает несколько доменов в пределах одной организации.
Пример из практики. Требование 2
Опишите функцию AD, позволяющую организовать ресурсы так, чтобы сократить использование подключения WAN для передачи в рабочее время трафика, сгенерированного не пользователями.
Правильный ответ: в AD для группировки ресурсов, объединенных высокоскоростным подключением к локальной сети, используются сайты* В пределах сайта сетевой трафнк, сгенерированный не пользователями, например трафик репликации между контроллерами домена, передается сразу же после внесения изменений. Однако между сайтами трафик репликации можно передавать по расписанию. Настройте расписание так, чтобы сетевой трафнк, сгенерированный не пользователями,, передавался вне рабочего времени, сокращая, таким образом, расходы на подключение к глобальной сети.
Каким образом использование сайтов в данной ситуации повлияет на размещение серверов глобального каталога?
Правильный ответ: чтобы и в дальнейшем минимизировать трафик в глобальной сети, по меньшей мере один контроллер домена из каждого сайта необходимо настроить как сервер глобального каталога. Таким образом, данные AD ие будут передаваться по глобальной сети.
ГЛАВА 2
Планирование инфраструктуры Microsoft Exchange Server 2003
Занятие 1. Комментарии к процессу установки19
Занятие 2. Подготовка лесов и доменов27
Занятие 3. Выполнение установки Exchange Server 200332
Занятие 4. Автоматическая установка39
Занятие 5. Удаление сервера Exchange Server 20Q3 из организации43
Темы экзамена
Подготовка среды для развертывания Microsoft Exchange Server 2003.
Установка, настройка и устранение неполадок Exchange Server 2003.
Удаление компьютера с Exchange Server 2003 из организации.
Управление н устранение неполадок с разрешениями.
В этой главе
Один из фундаментальных этапов разаертывания нового сетевого приложения, особенно такого сложного, как Exchange Server 2003, — это планирование. Если пропустить данный этап или допустить на шаге планирования ошибки, это приведет к просчетам в реа-чизации проекта и другим серьезным проблемам.
Exchange Server 2003 тесно интегрируется со службой каталогов AD, что делает правильное планирование еще более важной задачей. В этой главе вы узнаете, что необходимо принять во внимание при планировании развертывания Exchange Server 2003, включая подготовку леса н доменов AD перед установкой Exchange Server 2003. Помимо этого, вы установите Exchange Server 2003.
Следующие несколько глав посвящены практической установке Exchange Server 2003 в различных средах: обычная установка (данная глава); установка в существующей организации с сервером Microsoft Exchange Server 5.5 (глава 4); обновление или переход
на Exchange Server 2003 с Exchange Server 5*5, Microsoft Exchange 2000 Server и сторонних систем обмена сообщениями (глава 5) и, наконец, вы установите Exchange Server 2003 в кластерной среде (глава 6).
Прежде всего
Для выполнения упражнений в этой главе вам потребуется следующее:
два сервера под управлением Microsoft Windows Server 2003, Enterprise Edition, отвечающих требованиям к аппаратному обеспечению, установленных и настроенных в качестве Servrer01 и Server02 в домене contoso,com;
административные привилегии на сервере» включая членство в группе Администраторы схемы (Schema Admins);
ПО Exchange Server 2003.
Занятие 1. Комментарии к процессу установки
Развертывание в организации Exchange Server 5.5 и более ранних версий практически не отличалось от развертывания любого другого приложения. Конечно, планирование имело значение, но сама установка проводилась типичным образом. Начиная с Exchange 2000 Server произошли кардинальные изменения, связанные с тесной интеграцией платформы для передачи сообщений (Exchange 2000 Server) и серверной операционной системы (Microsoft Windows 2000 Server). При развертывании Exchange необходимо было учитывать инфраструктуру Windows 2000 Server. Поэтому невозможно было эффективно управлять Exchange 2000 Server, не принимая во внимание Windows 2000 Server и Active Directory. В основе Exchange Server 2003 лежит та же концепция. Исходя из этого, вы должны четко представлять себе, как работают AD и система доменных имен (Domain Name System, DNS) и как Exchange Server 2003 использует службы серверных операционных систем. Помимо этого, так как Exchange Server 2003 устанавливается на компьютер под управлением Wndows 2000 Server (с пакетом обновления SP3 или более поздним) или Windows Server 2003, необходимо знать, каким образом наличие различных функций в Exchange зависит от версии ОС Windows.
Изучив материал этого занятия, вы сможете:
/ узнать, какие версии Exchange Server могут работать на различных версиях Windows 2000 Server и Windows Server 2003;
/ определить требования к аппаратному обеспечению, необходимому для успешного развертывания Exchange Server 2003;
/ настроить учетную запись службы для использования Exchange Server 2003;
/ установить компоненты Windows Server, необходимые для работы Exchange Server 2003.
Продолжительность занятия — около 30 минут*
Поддерживаемые комбинации Exchange и Windows Server
В зависимости от вашей организации в сети могут присутствовать различные конфигурации серверов, влияющие на способ развертывания Exchange Server 2003. В следующем списке перечислены поддерживаемые комбинации версий Exchange и ОС Microsoft Windows.
Exchange Server 5.5:
Windows NT 4 Server, Windows 2000 Server (любой пакет обновлений);
не поддерживает AD, но может реплицировать данные в AD и из нее при помощи Коннектора Active Directory (Active Directory Connector; ADC).
Exchange 2000 Server:
Windows 2000 Server (SP1 или более поздний);
может быть установлен на рядовой сервер или контроллер домена, но необходима служба AD.
Exchange Server 2003:
Windows 2000 Server (SP3 или более поздний);
Windows Server 2003;
а может быть установлен на рядовой сервер или контроллер домена, но необходима служба AD.
Совет Так как на базе Windows Server 2003 может работать только версия Exchange Server 2003, перед обновлением операционной системы Windows Server до Windows Server 2003 необходимо обновить среду Exchange до Exchange Server 2003.
Стоит отметить, что с точки зрения развертывания Exchange Server 2003, Windows Server 2000 с пакетом обновления SP3 и более псодннм и Windows Server 2003 — это не одно и то же. Чтобы воспользоваться всеми преимуществами новых возможностей Exchange Server 2003, его необходимо установить на сервер Windows Server 2003. Точнее, полностью раскрыть функциональность сервера Exchange можно, только установив его на Windows Server 2003, Enterprise Edition, В следующем списке перечислены функции Exchange Server 2003, доступные при установке на сервер Windows Server 2003, но которые не поддерживаются на Windows 2000 Server:
для точек подключения снимается ограничение в 24 буквы диска, существующее в предыдущих всрсняк Windows;
служба Vblume Shadow Сору для резервного копирования базы данных (необходимо приложение архивирования Windows Volume Shadow Copy);
поддержка Internet Protocol Security (IPSec) для клиентских и серверных кластеров;
аутентификация Kerberos между лесами при помощи Microsoft Outlook 2003 (необходимы Microsoft Metadirectory Services 2003 n Outlook 2003);
улучшенная безопасность и выделенный режим приложений иl^фopмaцlЮ!lныx служб Интернета (Internet Information Server, IIS) 6;
доступ по протоколу Hypertext Transfer Protocol (HTTP) нз Outlook 2003;
совместная работа в реальном времени (необходима служба Real-Time Collaboration);
Microsoft SharePoint Portal Server 蚀b Parts (необходим сервер SharePoint Portal Server, службы Microsoft Windows SharePoint Services или и то и другое).
В следующем списке перечислены функции, доступные только при установке Exchange Server 2003 на Windows Server 2003, Enterprise Edition:
поддержка до 8 процессоров PI【】 Xeon;
поддержка до 8 процессоров Р4 ХеопМР (многопотоковых);
« объединение в кластер до 8 узлов;
поддержка точек подключения.
Требования к оборудованию
Требования к аппаратному обеспечению Exchange Server 2003 определяются несколькими факторами: количеством пользователей, которые будут обращаться к серверу; размером и числом ежедневно передаваемых сообщений (а особенно — в периоды наивысшей активности); потребностью в доступности и т.п. Выбирать тип оборудования следует, оценив все перечисленные факторы. В табл. 2-1 перечислены некоторые минимальные требования к аппаратному обеспечению.
Табл. 2*1. Минимальные требования к оборудованию для Exchange Server 2003
Компонент
Минимальные требования
Процессор
Pentium 133
Операционная система
Windows 2000 Server + SP3
Оперативная память
256 Мбайт
Свободное пространство
200 Мбайт на системном диске, 500 Мбайт в разделе, куда
на диске
устанавливается Exchange Server 2003
Дисковод
Привод для компакт-дисков
Монитор
VGA или лучше
Файловая система
Все разделы, с которыми будет работать Exchange
Server 2003, должны быть отформатированы под фа|1лоную систему NTFS, включая:
системный раздел;
раздел, где хранятся исполняемые файлы Exchange;
раздел, где хранятся файлы базы данных Exchange;
раздел, где хранятся журналы транзакций Exchange;
раздел ы, где хранятся прочие файлы Exchange.
В табл. 2-1 перечислены минима-1ьные требования для установки Exchange Server 2003, но такая конфигурация подходит только для самых маленьких сред Exchange, поддерживающих не больше десятка пользователей, или для тестирования в лабораторных условиях. Лучше следовать рекомендациям Microsoft для Exchange Server 2003, перечисленным в табл. 2-2. Помните, что это минимальные рекомендуемые требования, и при выборе оборудования следует исходить из конкретных нужд вашей организации.
Табл. 2-2. Рекомендуемые требования к оборудованию для Exchange Server 2003
Компонент
Рекомендуемые требования
Процессор
Pentium Ш 500 (Exchange Serser 2003, Standard Edition)
Pentium III 733 (Exchange Server 2003, Enterprise Edition)
Операционная система
Оперативная память
Свободное пространство на диске
Windows Server 2003
512 Мбайт
200 Мбайт на системном диске, 500 Мбайт в разделе, куда устанавливается Exchange Server 2003. Отдельные физические диски для исполнимых файлов, файлов базы данных и журналов транзакций Exchange
Дисковод
Монитор
Файловая система
Привод для компакт-дисков
SVGA или лучше
Все разделы, которые будет использовать Exchange, должны быть отформатированы под NTFS, включая:
системный раздел;
раздел для хранения исполнимых файлов Exchange;
раздел для хранения файлов базы данных Exchange;
раздел для хранения журналов транзакций Exchange;
раздел для хранения прочих файлов Exchange.
Совет Установка Exchange Server 2003 на существующий сервер увеличит нагрузку. Перед тем как устанавливать Exchange Server 2003» необходимо при помощи утилиты System Monitor выяснить исходный уровень прои вводите л ьности сервера. Так вы не только определите, сможет ли Exchange эффективно работать на этом сервере, но и получите данные для того, чтобы узнать, как установка Exchange Server 2003 повлияла на общую производительность сервера.
Создание учетной записи службы
Еще один вопрос, который следует рассмотреть прм установке Exchange Server 2003, — это создание отдельной учетной записи службы. Одна из причин, почему следует использовать выделенную учетную запись службы, относится к аудиту безопасности. Если службы запускаются под учетной записью Administrator (Администратора) или System (Систе-
мы), то в оснастке Event Viewer (Просмотр событии) невозможно определить, сгенерирована запись пользователем, выполняющим задачу, или службой, самостоятельно запустившей процесс. Создав учетную запись службы, можно будет безошибочно определять» какие задачи выполняются службами Exchange. Помимо этого, вы сможете оперативно пресекать попытки злоумышленников интерактивно войти в систему под учетной записью службы, чтобы получить административные права на домен.
В табл. 2-3 перечислены разрешения, необходимые учетной записи пользователя для выполнения задач, связанных с установкой. Прочитав список разрешений, необходимых для успешного развертывания Exchange Server 2003э вы поймете, что учетная запись, под которой выполняются службы Exchange, обладает достаточно широкими возможностями*
Табл. 2-3* Разрешения и роли, необходимые для выполнения задач установки Exchange
Задача
Необходимые разрешения или роли
Первый запуск ForestPrep в лесу (для обновления схемы)
Член групп Schema Admins (Администраторы схемы) и Enterprise Admins (Администраторы предприятия)
Запуск ForestPrep (помимо первого раза)
Разрешения Exchange Full Administrator (Полный администратор Exchange) на уровне организации Exchange
Запуск DomainPrep
Член группы Domain Admins (Администраторы домена) в целевом домене
Установка первого сервера в домене
Разрешения Exchange Full Administrator (Полный администратор Exchange) на уровне организации Exchange
Установка дополнительных серверов в домене
Разрешения Exchange Full Administrator (Полный админн- стратор Exchange) на уровне административной группы
Учетную запись машины необходимо добавить в группу Exchange Domain Severs (Серверы домена Exchange)
Установка сервера с включенной службой репликации сайтов (Site Replication Service, SRS)
Разрешения Exchange Full Administrator (Полный администратор Exchange) на уровне организации Exchange
При создании учетной записи службы необходимо включить параметр User Cannot Change Password (Запретить смену пароля полыователем). Это мера предосторожности не позволит злоумышленникоу интерактивно войти в систему под видом службы н завладеть учетной записью, изменив пароль. Помимо этого, пароль сможет изменить только администратор с консоли Active Directory — пользователи и компьютеры (Active Directory Users And Computers). Также можно включить параметр Password Never Expires (Срок дейсгния пароля не ограничен). Учетная запись службы не должна подчиняться политике паролей домена, которая зачастую требует периодической смены паролей. Смена пароля учетной записи службы всегда должна быть аккуратно запланирована. Так как эта учетная запись не используется для интерактивного входа на сервер, вы не будете получать предупреждения о завершении срока действия пароля.
Установка служб Windows, необходимых для Exchange Server 2003
Перед установкой Exchange Server 2003 необходимо включить на сервере определенные компоненты Windows Server 2003 — они потребуются для интеграции Exchange с AD и операционными системами Windows. Чтобы программа установки могла успешно выполнять свою работу, на сервере должны быть установлены и включены следующие службы:
Microsoft .NET Framework;
Microsoft ASP.NET;
Веб (World Wide Wfeb, WWW);
Простой протокол пересылки почты (Simple Mail Transfer Protocol, SMTP);
Сетевой протокол пересылки новостей (Network News Transfer Protocol, NNTP),
Процесс конфигурации зависит от выбранной серверной платформы: Windows 2000 Server или Windows Server 2003. При установке Exchange Server 2003 на сервер под управлением Windows 2000 Server программа установки автоматически добавляет и включает службы .NET Framework и ASP.NET Причина заключается в том, что на момент выпуска Windows 2000 Server эти службы еще не существовали. Так как ,NET Framework входит в состав Windows Server 2003, а ASP.NET можно установить при помощи Windows Components Wizard (Мастера компонентов Windows), на эту платформу Microsoft Exchange Installation 仍卫。“ (Мастер установки Microsoft Exchange) указанные компоненты не устанавливает. Их необходимо вручную включить в Endows Server 2003.
Службы Веб и SMTP автоматически устанавливаются н включаются в процессе обычной установки ОС Windows 2000 Server. По умолчанию в Windows Server 2003 эти службы не устанавливаются. Поэтому, если установить Exchange Server 2003 на сервер под управлением Windows 2000 Server, то добавить придется, вероятно, только службу NNTR В случае Windows Server 2003 ни одна из перечисленных служб не устанавливается, поэтому необходимо добавить и включить их все.
Лабораторная работа. Подготовка к установке
На практике сначала необходимо создать учетную запись службы, с использованием которой будет производиться установка Exchange Server 2003, а затем настроить компоненты сервера Windows Server 2003, которые требуются для установки Exchange Server 2003.
Упражнение 1. Создание учетной записи службы
Войдите в систему Windows Server 2003 под учетной записью Администратора (Administrator).
В меню Start (Пуск) выберите Administrative Tools САдминистрированне), затем щелкните консоль Active Directory Users And Computers (Active Directory — пользователи и компьютера).
Слева разверните нужный домен и правой кнопкой мыши шелкните контейнер Users (Пользователи). Подведите указатель мыши к пункту контекстного меню New (Создать) и щелкните User (Пользователь).
Введите необходимую информацию, а в качестве имени учетной записи службы укажите svc_xch. Для продолжения щелкните Next (Далее).
Придумайте надежный пароль длиной минимум 7 символов, отвечаюши!! требованиям к сложности, установленным в Windows Server 2003. Укажите, что срок действия пароля не ограничен, и пользователь не сможет изменив пароль. Для продолжения щелкните Next (Далее), затем щелкните Finish (Готово).
Внимание! В отличие от предыдущих версий Windows, в Windows Server 2003 по умолчанию требуется задавать надежные пароли. Лучше, если пароль состоит из сочетания букв в верхнем и нижнем регистрах, цифр и специальных символов, и его длина составляет минимум 7 символов.
Дважды щелкните только что созданную учетную запись пользователя и перейдите на вкладку Member Of (Член групп). Шелкнитс Add (Добавить) и добавьте эту учетную запись в следующие группы:
Schema Admins (Адм ин и страторы схемы);
Enterprise Admins (Администраторы предприятия);
Domain Admins (Администраторы домена).
Щелкните ОК, затем еше раз щелкните ОК для завершения процедуры.
Упражнение 2. Установка компонентов Windows, необходимых для Exchange Server 2003
В меню Start (Пуск) выберите Settings (Настройка) и щелкните Control Panel (Панель управления). Щелкните Add Or Remove Programs (Установка и удаление программ).
Чтобы запустить Endows Components Wizard (Мастер компонентов Windows), щелкните Add Or Remove Windows Components (Установка компонентов Windows),
Щелкните компонент Application Server (Сервер приложений), затем щелкните Details (Состав).
Установите флажок ASP.NET*
Прокрутите список до пункта Internet Information Services (IIS) [Службы ITS] и щелкните Details (Состав).
Установите флажки рядом со следующими компонентами:
NNTP service (Служба NNTP);
SMTP service (Служба SMTP);
口 World Wide Web service (Служба WWW).
Шелкиите OK, чтобы вернуться в список компонентов Application Server (Сервер приложений), затем еще раз щелкните ОК, чтобы вернуться на главную страницу Windows Components W7z〃rd (Мастера компонентов Windows).
Выполняйте инструкции по установке компонентов и завершению работы мастера.
Служба ASP — это компонент IIS, и она устанавливается по умолчанию вместе со службой Веб. Однако несмотря на это, необходимо включить ASP в консоли Internet Information Services (Информационные службы Интернета). Для этого сделайте следующее:
I* Щелкните Start (Пуск), выберите AW Programs (Все программы), затем .Administrative Tools (Администрирование) и щелкните консоль Internet [пГогшаОоп Services (IIS) Manager (Диспетчер служб IIS).
Когда консоль откроется, разверните содержимое локального компьютера (если это не будет сделано автоматически) и выберите Web Service Extensions (Расширения веб-службы).
Выберите ASP.NET (рядом будет указана версия расширений) и щелкните Allow (Разрешить), как показано на рис. 2-1.
Рис. 2-1. Включение ASP в консоли Диспетчер служб 〃S
Резюме
Exchange Server 2003 можно устанавливать на серверы под управлением Windows 2000 Server SP3 или более поздней версии и Windows Server 2003, Если использовать Windows 2000 Server, некоторые функции будут недоступны.
Exchange Server 2003 ——это единственная версия Exchange Server, которая может работать на Windows Server 2003.
Для установки Exchange Server 2003 необходимо использовать отдельную учетную запись службы.
■ Так как AD тесно интегрируется с Windows 2000 Server и Windows Server 2003, перед тем, как начинать установку Exchange Server 2003, необходимо установить н включить некоторые компоненты Windows.
Занятие 2. Подготовка лесов и доменов
После того как вы подготовили учетную запись службы и установили компоненты Windows, необходимые для Exchange Server 2003, следующим шагом будет подготовка AD к установке Exchange. Она включает запуск ForestPrep и Domain Prep ——двух утилит, предназначенных для подготовки леса и доменов, соответственно.
Изучив материал этого занятия, вы сможете:
/ понять, какие изменения вносит ForestPrep\
/ запустить ForestPrep в лесу Active Directory;
/ понять, какие изменения вносит DomainРгер\
/ запустить DomainPrep в каждом домене Active Directory, где будет уста н авл и ваться Exchange Server 2003.
П родолжител ьность занятия — около 60 минут.
ForestPrep
AD состоит из трех разделов (или контекстов именования), предназначенных для хранения данных: раздел схемы, раздел конфигурации и раздел домена. Перед тем как устанавливать Exchange Server 2003, необходимо подготовить разделы AD при помощи утил ит ForestPrep и Domain Prep.
Примечание Можно начать установку Exchange Server 2003 и в процессе выполнить утилиты ForestPrep м Domain Prep, но важно помнить, что для завершения работы этих двух функций может потребоваться достаточно много времени (час или больше в зависимости от оборудования и сети). Помимо зтого, утилиты ForestPrep и DomainPrep можно запустить не на тех серверах, на которые в действительности будет устанавливаться Exchange Server 2003. Также вы можете оказаться в ситуации с несколькими доменами и рахпичными уровнями административных прав, принадлежащих разным людям, где, например, один администратор может запустить ForestPrep, другой — выполнить Domain Prep в одном домене, а третий ——запустить DomainPrep в другом домене. Поэтому подготовку AD необходимо завершить до начала установки приложения Exchange Server 2003, чтобы гарантировать безошибочную установку.
ForestPrep обновляет разделы схемы и конфигурации в AD. Следовательно, запустить ForestPrep может пользователь, учетная запись которого является членом групп безопасности Schema Admins (Администраторы схемы) и Enterprise Admins (Администраторы предприятия). В действительности, ForestPrep представляет собой ключ программы установки Exchange, использование которого позволяет расширить схему AD и включить
к нее классы и атрибуты, характерные только для Exchange Server 2003, В версии Exchange 2000 Server утилита ForestPrep также создавала контейнер для организации Exchange* но в Exchange Server 2003 этого не происходит. Таким образом, до начала установки Exchange Server 2003 указывать имя организации не нужно.
Подготовка к экзамену Запускать ForestPrep необходимо в корневом домене леса, так как эта утилита должна иметь возможность связаться с сервером, исполняющим роль Хозяина схемы (Schema Master); обычно это первый контроллер домена, установленный в лесу (если только вы не передали эту роль другому контроллеру домена). После запуска ForestPrep утилита проверяет, была ли она запушена в правильном домене. Если нет, пользователь, проводящий установку, получает сообщение, в каком домене находится Хозяин схемы, и работа ForestPrep прерывается.
Для запуска ForestPrep вставьте в привод установочный компакт-диск Exchange Server 2003 и в командной строке Run (Выполнить) введите команду показанную на рис. 2-2, заменив букву D на букву диска вашего привода для компакт-дисков.
二 田n
rf^j Type the name of а р/одгдт« FoUer, document, or
*l/ Jnternot resource,忘d Wtxiwft wl open К Fa you,
Qpen; J d;\5etupU3B$t$e：tupaMe 什。restpred刁
~QncM I Browse,,, |
Рис. 2-2. Запуск программы установки с ключом ForestPrep
Запустив программу установки с ключом /forestprep, подождите, пока она скопирует временные файлы на жесткий диск и откроет окно Microsoft Exchange Installation Wizard (Мастера установки Microsoft Exchange). Прочитав содержимое первой страницы, шелкните Далее (Next).
После этого откроется страница с лицензионным соглашением (End User License Agreement, EULA). Прочитайте соглашение полностью — оно содержит важную информацию о правах использования данного продукта. Затем установите переключатель I Agree (Согласен) и щелкните Next (Далее).
Теперь вы попадете в раздел аыбора компонентов программы установки. Так как при запуске программы использовался ключ /forestprep, компоненты будут выбраны автоматически» и вы не сможете изменить выбор. Однако можно сменить путь установки, если вам нс подходит каталог по умолчанию. Это окно показано на рис. 2-3.
Рис, 2-3. Окно выбора компонентов программы установки
Просмотрев выбранные компоненты и выбрав каталог для установки, укажите учетную запись, которая будет использоваться для установки Exchange Server 2003. Этой учетной записи будет назначена роль Exchange Full Administrator (Полный администратор Exchange) и право делегировать прочие роли администратора Exchange. Как показано на рис* 2-4, по умолчанию программа установки подставляет в текстовое поле учетную запись, с которой вы в данный момент зарегистрированы в системе.
円 Mlirobolt EmcIm№q<* InHelmHon WU4td
Micn»n Exchange Svtyw Atfawiulialai ArcouhI
EZw % gcccuni to Mich you wF to giait Iha Ехс1чпд« FU Admiittdia，血I 弋
T hh Kcori * given et#ux<j> to <M«04>v tub**quE Eichenee cnloUbou АПл nmno S«M» the ** №w. Ц|й ih«# iecoirt tonjnlhe £ис*ипдаМм«11М№ Dabflat*» WB#d-*nd 軽®】《oopnal* ЕхЫпОб-WK^ rabt Io «iwiflralai ан сна уол ЕжАшд* S^raetan，
<*ek |」呼「］E«4 J
Рис. 2-4. Укажите учетную запись службы, которой будут предоставлены разрешения Exchange Full Administrator
Щелкните Next (Далее), чтобы запустить Forest Prep. Не прерывайте работу утилиты, так как она изменяет схему AD. На экране будет отображаться индикатор хода выполнения, но помните, что для завершения этого этапа может потребоваться час или больше. По окончании вы увидите соответствующее диалоговое окно. Щелкните Finish (Готово). Работа ForestPrep завершена.
DomainPrep
Процедура запуска DomainPrep аналогична запуску Forest Prep, но в данном случае необходимо указать ключ /domainprep (вы выполните это на практике в конце главы). Единственное различие заключается в содержимом экрана выбора компонентов, на котором будет выбрана утилита DomainPrep. Как и в предыдущем случае, выбрать другие компоненты невозможно. Если во время работы ForestPrep вы изменили каталог для установки, но новый каталог в данном окне не указан, просто заново укажите то же расположение, которое выбрали ранее.
Хотя может показаться, что ключ программы установки DomainPrep выполняет ту же функцию, что и ForestPrep, в действительности у него другое назначение. Утилита ForestPrep подготовила разделы схемы и конфигурации AD, a DomainPrep производит подготовку раздела домена. Еще одно ключевое различие состоит в том, что ForestPrep необходимо запускать один раз (в корневом домене леса), a DomainPrep должна отработать во всех следующих доменах:
корневом домене леса;
всех доменах, в которых будет установлен Exchange Server 2003;
всех доменах, в которых будут храниться объекты Exchange с почтовыми ящиками (mailbox-enabled, пользователи и группы), даже если в самом домене не будет собственного сервера Exchange Server 2003*
Ключ /domainprep создает фуипы и разрешения, необходимые Exchange Server 2003. При этом создаются две новые группы безопасности:
Exchange Enterprise Servers (Серверы предприятия Exchange): локальная группа домена, в которую входят все серверы Exchange, работающие в лесу;
Exchange Domain Servers (Серверы домена Exchange): глобальная группа, в которую входят все серверы Exchange, работающие в выбранном домене.
Для запуска DomainPrep необходимо использовать учетную запись пользователя, являющуюся членом группы Domain Admins (Администраторы домена) в локальном домене.
Лабораторная работа. Подготовка лесов и доменов
В этом упражнении вы подготовите AD к установке Exchange Server 2003, запустив ForestPrep и DomainPrep.
Упражнение 1. Запуск ForestPrep
Зарегистрируйтесь на сервере Windows Server 2003 под учетной записью Administrator (Администратор), входящей в группы безопасности Schema Admins (Адм и н и стратор ы схемы) и Enterprise Admins (тХдминистраторы предприятия).
Вставьте установочный диск Exchange Server 2003 в привод компакт-дисков.
Из командной строки Run (Выполнить) исполните D:\setup\i386\setup. exe/forestprep. (Замените букву D на букву вашего привода для компакт-дисков*)
На странице приветствия Мастера установки Microsoft Exchange (Microsoft Exchange Installation Wzard) щелкните Next (Далее).
Прочитайте лицензионное соглашение, выберите 1 Agree (Я принимаю) и щелкните Next (Далее).
На странице выбора компонентов удостоверьтесь, что выбран пункт ForestPrep. Если необходимо, измените путь установки н щелкните Next (Далее).
В окне с запросом учетной записи, под которой будет производиться установка Exchange Server 2003, введите имя желаемой учетной записи (если это не учетная запись по умолчанию) и для продолжения щелкните Next (Далее).
После завершения работы ForestPrep в последнем диалоговом окне щелкните Finish (Готово), чтобы закрыть окно мастера. Если по окончании установки на экране останется окно с просьбой щелкнуть Next (Далее), выполните инструкции и щелкните Finish (Готово).
Упражнение 2. Запуск DomainPrep
!. Войдите нн сервер Windows Server 2003 под учетной записью Администратор (Administrator), принадлежащей группе Администраторы домена (Domain Admins) (если вы вышли из системы после предыдущего упражнения).
Вставьте установочный диск Exchange Server 2003 в привод для компакт-дисков, щелкните в меню Start (Пуск) пункт Run (Выполнить) и введите D:\setup\i386\setup. exe/domainprep (замените букву D на букву вашего привода для комп а кт-дисков).
На странице приветствия Мастера установки Microsoft Exchange (Microsoft Exchange Installation Wizard) щелкните Next (Далее).
Прочитайте лицензионное соглашение, выберите I Agree (Я принимаю) н щелкните Next (Далее).
На странице выбора компонентов удостоверьтесь, что выбран пункт DomainPrep. Если необходимо, измените путь установки и шелкните Next (Далее).
В окне с запросом учетной записи» под которой будет производиться установка Exchange Server 2003, введите имя желаемой учетной записи (если это не учетная запись по умолчанию) и для продолжения щелкните Next (Далее).
После завершения работы DomainPrep в последнем диалоговом окне щелкните Finish (Готово), чтобы закрыть окно мастера. Если по окончании установки на экране останется окно с просьбой шелкнуть Next (Далее), выполните инструкции и щелкните Finish (Готово).
Резюме
Утилиту ForestPrep необходимо выполнять под учетной записью пользователя, являющейся членом группы безопасности Администраторы схемы (Schema Admins) к Администраторы предприятия (Enterprise Admins).
Утилиту DomainPrep необходимо выполнять под учетной записью пользователя, входящей в группу Администраторы домена (Domain Admins) в домене, где запускается программа установки.
ForestPrep выполняется один раз и обновляет лес целиком, a Domain Prep выполняется в каждом домене, где будут находиться серверы Exchange Server 2003 или объекты с почтовыми rf щи кам и.
Во время работы DomainPrep создаются две группы безопасности: Exchange Enterprise Servers (Серверы предприятия Exchange) и Exchange Domain Servers (Серверы домена Exchange)*
Занятие 3. Выполнение установки
Exchange Server 2003
Чрезвычайно важно ответственно отнестись к установке Exchange Server 2003, но многие администраторы подходят к этому вопросу слишком небрежно. Один из самых важных этапов установки Exchange — это выбор имени организации^ Как только вы установите и настроите организацию, будет очень сложно изменить конфигурацию, не прерывая работу пользователей. Таким образом, важно с большим вниманием отнестись к каждому шагу процесса установки.
Изучив материал этого занятия, вы сможете:
/ освоить различные типы установки;
/ успешно установить Exchange Server 2003 в новой организации.
Продолжительность занятия — около 45 минут.
Типы установки
Существует два основных типа установки, выбрать один из которых можно при запуске Microsoft Exchange Installation Wizard (Мастера установки Microsoft Exchange):
Create a New Exchange Organization (Установка новой организации Exchange): Эта глава посвящена данному типу установки.
Join Or Upgrade An Existing Exchange Server 5.5 Organization (Присоединение или обновление сушествующей организации Exchange Server 5*5): этому типу установки, куда также входит совместная установка и обновление Exchange 2000 Server, посвящены главы 4 и 5*
В следующем списке перечислены ключи, которые можно указывать при запуске Microsoft Exchange Installation Wizard (Мастера установки Microsoft Exchange) (программы Setup.exe) н их функции:
/ChooseDC dename указывает контроллер домена, который будет использоваться для чтения н записи информации AD во время установки. Особенно удобно использовать этот ключ при установке нескольких серверов Exchange Server 2003 в одном домене, например в лабораторных условиях или на практических занятиях. Если каждый экземпляр программы установки будет использовать один и тот же контроллер домена, то учетные записи компьютеров для серверов Exchange Server 2003 будут создаваться в группе Exchange Domain Servers (Серверы домена Exchange) на одном сервере, а затем реплицироваться на остальные контроллеры домена. Без этого ключа вам бы пришлось использовать различные контроллеры домена. Это привело бы к конфликтам репликации, и некоторые серверы Exchange не смогли бы правильно запустить свои службы после завершения установки;
/DisasterRccovery восстанавливает Exchange после извлечения конфигурации сервера из резервного архива. Этот ключ заставляет программу установки пропускать шаг регистрации сервера в AD м запрещает запись любых данных в AD. Вместо
этого программа установки пере уста на вл ивает двоичные файлы, позволяя вам восстановить хранилища информации из резервного архива и заново подключить их;
Примечание См. также главу 12 «Архивация и восстановление», в которой детально рассматривается восстановление Exchange Server 2003 после сбоя.
/ForestPrep предназначен для подготовки леса AD к установке Exchange Server 2003. Программа с таким ключом выполняется в лесу только один раз;
/DomainPrep предназначен для подготовки каждого домена AD, в котором будет производиться установка Exchange Server 2003 или храниться объекты с почтовыми ящиками, такие как учетные записи пользователей. DomainPrep выполняется в каждом домене, отвечающем этому критерию;
/? выводит список всех ключей командной строки и их краткое описание;
/CreateUnattend filename.ini создает файл ./«/, где filenameJni — это имя файла с информацией, необходимой для автоматической установки Exchange Server 2003.
В 4 занятии вы создадите файл jzh для автоматической установки и, используя этот файл, установите Exchange Server 2003;
/EncryptedMode шифрует файл .ini. чтобы защитить его от прочтения не имеющими доступа сотрудниками;
/UnattendFile fiknameunt выполняет автоматическую установку с использованием указанного файла」*А Этот ключ может быть модифицирован другими ключами программы установки, имеющими отношение к автоматической установке;
/Password password можно указать н качестве ключа программы установки пароль зарегистрированного в данный момент в системе пользователя. В этом случае во время установки вход в систему будет осуществляться автоматически без запроса пароля;
/ShowUI включает пользовательский интерфейс мастера, даже если установка производится автоматически; этот ключ используется совместно с ключом /UnattendFile;
Совет Полезно указать данный ключ, чтобы иметь возможность наблюдать за процессом установки, не вмешиваясь, а также на случай сбоя автоматической установки, чтобы проверить» на каком этапе произошел сбой.
/NoEventlog запрещает программе установки записывать любую информацию в журналы событий Windows (System (Система), Application (Приложение) или Security (Безопасность)). Обычные сообщения, которые генерирует программа установки, не будут забивать журналы событий;
/NoErrorLogging запрешает записывать в журнал сообщения об ошибках во время установки;
/АП позволяет устанавливать, обновлять и переустанавливать все компоненты Exchange.
Совет Используйте этот ключ для установки или переустановки компонента, недоступного в программе установки.
Typical (Обычная) на Custom (Выборочная). Иначе, пытаясь выбрать любой компонент, не входящий в состав обычной установки, вы увидите только вариант «nonei».
В столбце Action (Действие) щелкните Typical (Обычная), затем щелкните Next (Далее). В следующем окне, показанном на рис. 2-6, необходимо выбрать тип установки. Можно выбрать первую установку программы или обновление. Щелкните Create A New Exchange Organization (Установка новой организации Exchange), затем щелкните Next (Далее).
Рмс. 2-6. Создание новой организации или установка в существующей организации
В поле Organization Name (Имя организации) введите название организации и шелк- ните Next (Далее). Как видно на рис, 2-7, название по умолчанию — First Organization (Первая организация).
；f7 *+<iSt £нЕдп<><| Jiwt—UtEn Wwwd
Qiganualxin Мяве
“ом th« Mcio»C« Enchenge 0iganu4k»^u *i id 口…
^^vautkr bUie lQp of №■ dwto^i )мм*с>Ф n £whapg( Tiw cryAnkaiian сотыми』ЕлсМпдо
H X t, ttv littl 吟 晔..nlalrig £«h*^. the r«ne 川 егйи nH«s- qrpwalion N ame btzt 命t”K**t Iha apatUMUi амта E»i mmw 詠蛇!威・ №• niial ndtlMion H ・ mnk d Iha oioanulion
Рис. 2-7. Задание названия организации
В лабораторных условиях можно оставить название по умолчанию, но в рабочей среде лучше задать более понятное название. Однако название не должно накладывать слишком много ограничений, иначе по мере роста или изменения организации может выясниться, что оно уже нс подходит. Обычно в качестве названия организации удобно использовать имя компании.
Примечание Изменить название организации после того, как сервер Exchange установлен, можно, но это нс самый простой процесс. Необходимо использовать утнлмту ADSIEdit и «ручную внести нзмененнх в AD. Эту задачу не рекомендуется выполнять обычным системным адм инистраторам.
Прочитайте лицензионное соглаи;ение Exchange Server, показанное на рис. 2-8. Это соглашение отличается от первого лицензионного соглашения и определяет требования доступа клиентов к Exchange Server 2003. Exchange Server 2003 поддерживает только лицензирование «на рабочее место*, Шелкните I Agree That I Have Read And Will Be Bound By The License Agreements For This Product (Я прочитал Лицензионное соглашение и принимаю его условия), затем щелкните Next (Далее).
I * ■Mtarmnlt fxthuM)e МПлМНЬоп U№rm4I * ■Mtarmnlt fxthuM)e МПлМНЬоп U№rm4шшшае^ж^шшшае^ж^
I * ■Mtarmnlt fxthuM)e МПлМНЬоп U№rm4
I * ■Mtarmnlt fxthuM)e МПлМНЬоп U№rm4
шшшае^ж^
шшшае^ж^
JnilAildiien SuAnety
RrnewytM rulaijteo chtuca*
■ш^т^и
INNMerotott E Hchgt^e Mending and Сжссашп StiwctG
InsiM -Mcrawlt £ KCh*4>e Sjratem MansflBmert T «йC;
246 MB RhmmhJ917 MB Ншпч246 MB RhmmhJ917 MB НшпчQH Wlamafiui |QH Wlamafiui |hdMicwwlt Etchano® $ 5 AdmuhaidC'
246 MB RhmmhJ
917 MB Ншпч
246 MB RhmmhJ
917 MB Ншпч
QH Wlamafiui |
QH Wlamafiui |
t |«Ht 「— N向》] C*rce( ]
Рис. 2-8. Лицензионное соглашение *на рабочее место» для Exchange Server
На странице Installation Summary (Сводная информация об установке), показанной на рис. 2-9, проверьте параметры установки. Здесь можно просмотреть список устанавливаемых компонентов и решить, можно ли переходить далее к установке или следует вернуться назад н внести изменения. Убедившись, что все верно, щелкните Next (Далее), чтобы начать установку Exchange Server 2003.
Рис. 2-9. Проверка параметров установки
Программа начнет установку выбранных компонентов. Как показано на рис. 2-10, вы можете следить, какую задачу в данный момент выполняет программа установки.
Z Micwi*crt5«#th
м* МкпоиЛ ЕжХбт
W MicrotcA Eu^iangt Fonu PiepMdlicri
► МцлоюН ЕкМпд* Мтвлд呷 wid tollitbm・im 号*twoe・
Мсяисй E ffihoge EyOvn Mwdgwnwi T 仙
Micro* ей EWw^ 区5 А&япмнйг
-Sowing Z t*vig* ySSVC, —一—，
Р>»Л1й1Мап| Owi* Р)сч)|адг
Рис. 2-10. Наблюдение зл процессом установки
Так как вы подготовили среду к установке при помощи утилит ForestPrep и Domain Prep, после проверки первичной информации в AD программа установки перейдет к задаче Microsoft Exchange Messaging and Collaboration Services (Службы передачи сообщений и совместной работы Microsoft Exchange). Если же вы предварительно не запускали Forest Prep, то это сделает программа установки на этапе Microsoft Exchange Forest Preparation, и па это потребуется столько же времени, сколько и на предварительную подготовку леса, выполненную отдельно, — час или больше. После того как программа установки выполнит все задачи* откроется диалоговое окно с сообщением об успешном окончании установки Exchange Server 2003.
Щелкните Finish (Готово). Ваш сервер Exchange установлен и готов к настройке и использованию. Если на экране все так же отображается диалоговое окно с просьбой щелкнуть Next (Далее) после завершения установки, выполните инструкции и щелкните Finish (Готово).
Резюме
Microsoft Exchange fnsiallation Wizard (Мастер установки Microsoft Exchange) позволяет создать новую организацию или присоединиться к существующей организации Exchange Server 55
Exchange Server 2003 лицензируется только в режиме «на рабочее место»*
Выберите название организации, отражающее имя и вид компании, но которое не накладывает ограничения, делающие невозможным использование его после реорганизации или другого изменения в компании.
Изменить название организации после установки можно вручную, используя утн- ллту ADSIEdil, но делать это не рекомендуется.
Программу установки Setup.exe можно настраивать при помоши различных ключей, предназначенных для выбора задач.
Занятие 4. Автоматическая установка
Вы узнали, как вручную установить Exchange Server 2003 при помощи Microsoft Exchange Installation Wizard (Мастера установки Microsoft Exchange). На этом занятии вы добавите в организацию второй сервер, используя автоматический метод установки. Обычно в реальных условиях автоматическая установка проводится удаленно. Предоставьте сотруднику на месте носитель или файл .mi для автоматической установки, и он сможет запустить программу установки и провести ее без вмешательства, гарантировав лишь, что параметры установки не будут случайно изменены.
Автоматическая установка упрощает разве рты ванне нескольких новых серверов Exchange в существующей организации. Благодаря возможности также провести автоматическую установку Windows Server 2003, вы можете сэкономить время, автоматизировав весь процесс установки.
Изучив материал этого занятна〕вы сможете:
создать файл .ini для автоматической установки;
успешно установить Exchange Server 2003, указав ключ /unattendfile для программы установки.
Продолжительность занятия — около 60 минут.
Создание файла .ini для автоматической установки
При развертывании Exchange Server 2003 может быть очень полезно создать файл для автоматической установки. Процесс создания этого файла аналогичен процессу установки вручную: выберите компоненты и путь установки, укажите, хотите ли вы создать новую организацию или присоединиться к существующей, прочитайте и примите лицензионное соглашение и т. д. Однако вместо того чтобы после проверки параметров установки в диалоговом окне Installation Summary (Сводная информация об установке) начать установку компонентов, Microsoft Exchange Installation Wizard (Мастер установки Microsoft Exchange) запишет все настройки в файл .ini ——текстовый файл в особом формате, предназначенный для использования с ключом /unattendfile.
Примечание Автоматическая установка Exchange Server 2003 не отменяет необходимости проводить подготовительную работу. Нужно удостовериться, что на сервере Windows установлены и настроены все компоненты, необходимые для установки Exchange. Также следует убедиться, что выполнены все требования наприxiep касающиеся разрешений.
На этом занятии вы добавите второй сервер Exchange Server 2003 в существующий лес и домен. При этом новая огранизация будет создана в процессе автоматической установки, схожей с установкой вручную, с которой вы познакомились в занятии 3. Единственное ограничение, накладываемое на файл для автоматической установки, заключается в том^ что его невозможно использовать повторно, так как программа установки не сможет создать организацию в ходе последующих установок. Таким образом, если вы хотите установить сервер Exchange несколько раз, лучше создать файл для автоматической установки после создания организации.
Примечание Если у вас в лабораторных условиях есть только один компьютер, можно удалить Exchange Server 2003, а затем выполнить следующее упражнение, создав файл для автоматической установки и настроив при помощи него новую организацию. Про* цесс будет аналогичен установке вручную с теми же параметрами. Однако в таком случае вы не сможете добавить сервер в существующую организацию, то есть выполнить практическое задание далее в этой главе.
Для файла」м/ можно указать любое имя, однако расширение менять нельзя. Технически, ничто не запрещает выбрать любое другое расширение, например .Ш, но формат файла должен соответствовать файлу 7л/\ н поэтому в целях согласованности рекомендуется оставить это разрешение. Практическое руководство по созданию файла .ini для автоматической установки вы найдете в конце этого занятия.
Если только у вас нет необходимости отдельно выбирать компоненты для каждой автоматической установки, выбирайте тип установки Typical (Обычная). Если изменить путь установки Exchange Server 2003, это распространится на все серверы, где будет
выполняться автоматическая установка. Важно тщательно спланировать свою работу и убедиться, что на исех серверах Windows диски н разделы настроены единообразно.
При развертывании тестовой среды Exchange Server 2003 не достаточно просто установить отдельный тестовый сервер в существующем рабочем лесе или домене. Необходимо установить отдельный лес AD, иначе вы столкнетесь с нежелательными настройками на уровне леса, от которых будет трудно избавиться при переходе к развертыванию Exchange Server 2003 в реальной рабочей среде.
Подготовка к экзамену На экзамене вам может быть предложено установить вторую организацию Exchange Server 2003 в существующем лесу. Особенность интеграции Exchangc Server 2003 с AD заключается в том, что лес поддерживает только одну организацию Exchange.
В текстовый файл UnaunndJni, который создается в процессе установки, записываются выбранные вами значения параметров. Это обычный текстовый файл, его можно просмотреть в такой программе, как Microsoft Notepad (Microsoft Блокнот). Так как вы выбрали вид установки Typical (Обидная), поля рядом с не устанавливаемыми компонентами пустые. Список устанавливаемых компонентов приведен в подразделе Global Properties.
Этот файл можно отредактировать вручную, например^ если вы хотите установить сервер в определенной административной группе или группе маршрутизации. Также можно отрегулировать параметры в подразделе Global Properties, в том числе, изменить путь установки. Отредактировав текст, убедитесь, что при сохранении Microsoft Notepad (Microsoft Блокнот) не добавил к файлу расширение Jxl
Выполнение автоматической установки Exchange Server 2003
Для того чтобы при установке использовался файл .ini автоматической установки, необходимо при запуске программы настройки указать ключ /UnattendFile и правильный путь к файлу Unattend.ini. Давнее вы видите пример команды запуска программы установки с файлом Unattend.ini с дискеты, являющейся диском А, с компакт-диска Exchange Server 2003, где привод для компакт-дисков обозначен буквой D:
D:\setup\1386\setup.exe /unattendfile а:\unattend.ini
Выполните эту ком ан 口乂 чтобы программа установки продолжила свою работу без вмешательства пользователя. Это не «тихая» установка, во время которой вы не видите пользоватсльский интерфейс. На экране появится окно индикатора хода установки и будут перечисляться текущие задачи. В отличие от установки вручную, в этом случае вам не нужно вручную закрывать программу установки. По завершении процесса она закроется автоматически.
Лабораторная работа. Выполнение автоматической установки Exchange Server 2003
В этом упражнении вы создадите файл с именем Unattend.ini, а затем установите Exchange Server 2003 с использованием этого файла. В результате вы получите второй сервер Exchange 2003 в вашей организации.
Упражнение 1. Создание конфигурационного файла Unattend.ini
В меню Start (Пуск) щелкните Run (Выполнить) и введите следующую команду (замените букву D на букву вашего привода для компакт-дисков и С:\ на путь к вашему файлу unatiend.ini, если они различаются):
0:\setup\i386\setup.exe /createunattend с:\Unattend.ini
Откроется окно Microsoft Exchange Installation Wizard (Мастера установки Microsoft Exchange) как в случае запуска программы Setup.exe без ключей.
На странице приветствия щелкните Next (Далее), примите условия лицензионного соглашения и щелкните Next (Далее), чтобы открыть окно выбора компонентов,
В столбце Action (Действие) рядом с компонентом Microsoft Exchange щелкните epical (Обычная), затем щелкните Next (Далее).
На странице Installation Туре (Тип установки) выберите Join Or Upgrade An Existing Exchange 5.5 Organization (Присоединение или обновление существующей органмзацни Exchange Server 5.5) и щелкните Next (Далее).
Будет ли у вас выбор между созданием новой организации Exchange и обновлением или присоединением к существующей организации — это зависит от того, обнаружит ли программа установки существующую организацию Exchange в лесу. Если организация присутствует, то по умолчанию будет выбрано присоединение к существующей организации, и вы не сможете изменить это. Причина такого поведения лежит в том, что лес Active Directory поддерживает только одну организацию Exchange.
Просмотрите информацию на странице Installation Summary (Сводная информация об установке) и щелкните Next (Далее).
Примите лицензионное соглашение и для завершения процесса щелкните Next (Далее).
Программа установки запишет выбранные рами параметры в файл кофигурации по указанному пути, и вы увидите сообщение об успешном завершении программы установки.
Упражнение 2. Выполнение автоматической установки
Exchange Server 2003
】.В меню Start (Пуск) щелкните Run (Выполнить) и введите следующую команду (замените букву D на букву вашего привода для компакт-дисков и С:\ на путь к вашему файлу iinaitend.ini, если они различаются):
D:\setup.i366\setup.exe /UnattendFile c:\Unattend.ini
Вы можете следить за тем. как программа установки использует пользовательские настройки из файла Unattend.ini, в том числе, устанавливает программу Exchange 5.5 Administrator (Администратор Exchange 5.5).
После завершения установки щелкните кнопку Start (Пуск), затем All Programs (Все программы), затем Microsoft Exchange и запустите программу Exchange System Manager (Диспетчер системы Exchange). В окне диспетчера просмотрите параметры организации н, развернув контейнер Servers (Серверы), убедитесь, что в организации установлен новый сервер. Закройте программу*
Резюме
Автоматическая установка помогает быстро развернуть несколько серверов Exchange Server 2003 в существующей организации.
Автоматическая установка позволяет передать задачу установки двоичных файлов Exchange Server 2003 сотрудникам ИТ-отдела более низкого уровня, а также упрощает разоертывание Exchange Server 2003 на удаленных компьютерах.
Перед тем как приступать к автоматической установке, необходимо выполнить те же подготовительные процедуры (проверка разрешений, компонентов Windows и т. л.), что и при установке вручную.
Лес AD поддерживает только одну организацию Exchange Server 2003* поэтому файл Unattend.ini, предназначенный для создания организации, невозможно использовать для последушей установки.
Файл Unattencl.im — это текстовый файл с особым форматированием, который можно открыть и отредактировать вручную в утилите Microsoft Notepad (Microsoft Блокнот), если возникнет необходимость внести изменения.
Занятие 5. Удаление сервера
Exchange Server 2003 из организации
Определенные ситуации могут потребовать удаления сервера из организации Exchange. Например, это может понадобиться в случае замены устаревшего сервера на более новый и быстрый или поэтапного перехода с предыдущей версии Exchange на Exchange Server 2003. В этом занятии вы узнаете, как удалить сервер Exchange Server 2003 из организации Exchange,
Изучив материал этого занятия〕вы сможете:
/ удалить сервер Exchange Server 2003 из организации при помощи Microsoft Exchange Installation Wizard (Мастера установки Microsoft Exchange):
/ принудительно удалить сервер Exchange Server 2003 из организации.
Продолжительность занятия - около 30 минут.
Удаление сервера Exchange Server 2003 при помощи Мастера установки Microsoft Exchange
Обычно, чтобы удалить сервер Exchange Server 2003 из организации, используется Microsoft Exchange Installation Wizard (Мастер установки Microsoft Exchange). Это предпочтительный способ удаления, так как программа установки может считывать и запи* сывать информацию в AD и удалять любые ссылки на сервер. Однако для того чтобы воспользоваться Microsoft Exchange Installation Wizard (Мастером установки Microsoft Exchange)» необходимо принять некоторые подготовительные меры*
Необходимо перенести все почтовые ящики на другой сервер Exchange в организации или удалить их изо всех учетных записей пользователей,
Сервер не должен быть плацдармом или хозяином группы маршрутизации. В противном случае эту роль необходимо передать другому серверу Exchange в группе маршрутизации.
Сервер не должен быть частью никаких соглашений о соединении.
На сервере не должны быть установлены и использоваться коннекторы.
Если в Microsoft Exchange Installation Wizard (Мастере установки Microsoft Exchange) вы попытаетесь выбрать для компонента Microsoft Exchange параметр Remove (Удалить), но сервер не будет удовлетворять перечисленным требованиям, программа установки выдаст сообщение об ошибке. На рис. 2-11 показан пример ошибки: на сервере, который вы пытаетесь удалить, остались почтовые ящики пользователей.
|м)сги.“Т ЪнсЪапое In«tdllfltMMt Wtewd
ТЪй nm>0fK*t ?«№»» Exchange 14<«»9>4 «nd CC*Woi d№i &»*««* от» b* кИ^яЧ the *邮 'Rweve"
-Ow or w« t*«< cunwily uss я 1М*сн.Л«е on Ий wwi. W»m свеч must be iw«d io ♦ тейЬсх «twe on e ctffetent setv# b k gl 必Hed bahxv uriinttdAng thk sw^w,
Phc. 2-11. Сообщение о ошибке Мастера установки Microsoft Exchange
Для завершения удаления необходимо исправить ошибку, например переместить почтовые яшики пользователей на другой сервер Exchange в организации. Очень часто для учетной записи администратора почтовый “тнк создается автоматически при установке Exchange Server 2003. Поэтому» даже если вы установите, а затем сразу же попытаетесь деинсталлировать почтовый ящик, нам придется сначала удалить его. После этого можно будет запустить мастер еще раз. Процедура будет аналогична установке Exchange Server 2003.
Принудительное удаление Exchange Server 2003 из организации
К сожалению, в реальном мире дела не всегда идут так, как запланировано. Возможно, по той или иной причине AD решит, что условия удаления не выполнены, дн*е если вы будете уверены, что провели подготовку полностью. Напрнмер, на сервере Exchange Server 2003 может быть множество совершенно ненужных вам почтовых ящиков, и вам не захочется тратпть время на удаление их вручную.
В подобных ситуациях можно принудительно удалить Exchange Server 2003 из организации при помощи консоли Exchange System Manager (Диспетчер системы Exchange). Перед тем как делать это, остановите все службы Exchange Server. Правой кнопкой мыши щелкните на консоли сервер, который хотите удалить, и в контекстном меню щелкните All Tasks (Все задачи) и Remove Server (Удалить сервер). Мастер удаления предупредит вас, что все почтовые ящики, общие папки и данные конфигурации будут утеряны, и лучше для удаления воспользоваться утилитой Add Or Remove Programs (Установка и удаление программ).
Щелкните Ws (Да), чтобы Exchange Server 2003 пропустил этап проверки для защиты данных и началось удаление его с сервера и из Active Directory с сопутствующей потерей данных* Этот вариант можно использовать лишь как последнее средство, если вам не удалось удалить сервер при помощи Microsoft Exchange Installation Wizard (Мастера установки Microsoft Exchange),
Внимание! Задача Remove Server (Удалить сервер) удаляет только ссылки на сервер в AD. Для полного удаления Exchange Server 2003 с сервера необходимо выполнить несколько дополнительных задач. Как всегда, редактировать реестр следует с крайней осторожностью, так как ошибки могут привести к возникновению неполадок и потребовать даже переустановки операционной системы. Помимо этого, так как принудительно удалять Exchange Server все же не рекомендуется, после этого по возможности следует переустановить систему, чтобы гарантировать отсутствие проблем в будущем.
Удаление Exchange Server 2003 производится в несколько этапов. Во-первых, необходимо выключить все службы Microsoft Exchange Server на сервере (а не просто остановить их). Затем удалить несколько ключей реестра. Если никакие другие процессы не будут использовать компоненты I1S, необходимые Exchange Server 2003, их также следует удалить.
Выполнив все необходимые задачи, перезагрузите сервер и удалите структуру папок Exchange Server и их содержимое. Завершите удалениет заново установив пакеты обновлений н файлы исправления, а если сервер Exchange Server 2003 был установлен в сайте Exchange Server 5.5, удалите объект в программе Exchange 5.5 Administrator (Администратор Exchange 5.5). На практике вы выполните все эти действия в конце занятия. Затем можно будет, если необходимо, переустановить Exchange Server 2003 или использовать сервер в других целях.
Лабораторная работа. Удаление Exchange Server 2003
из организации
Так как вы пока что не добавляли на сервер почтовые ящики и не подключали его к другим платформам, то для удаления можно использовать Microsoft Exchange Installation Wizard (Мастер установки Microsoft Exchange). Но учтите: во время установки Exchange Server 2003 создаст электронный адрес для учетной записи, которая использовалась для установки программы [часто это учетная запись Administrator (Администратора)]. Этот адрес необходимо удалить до запуска программы установки. На практике вы сначала удалите Exchange Server 2003 при помощи мастера установки, а затем принудительно удалите второй экземпляр Exchange Server 2003.
Упражнение 1. Удаление Exchange Server 2003
L Войдите на сервер под учетной записью с правами Exchange Full AchnEisi「cno『(Пот- ный администратор Exchange), а также правами групп Schema Admin (Администратор схемы), Enterprise Admin (Администратор предприятия) и Domain Admin (Администратор домена).
2. Откройте консоль Active Directory Users And Computers (Active Directory — пользователи и компьютеры). Прааой кнопкой мыши щелкиите учетную запись, под которой устанавливался сервер Exchange Server 2003, и в контекстном меню щелкните Properties (Свойства). На воадке General (Общие) удалите адрес электронной почты.
3* Запустите Microsoft Exchange Installation Wizard (Мастер установки М icrosoft Exchange) с установочного компакт-диска Exchange Server 2003.
Выполняйте инструкции мастера установки, а на странице Component Selection (Выбор компонентов) щелкните столбец Action (Действие) рядом с компонентом Microsoft Exchange н выберите Remove (Удалить).
Дождитесь, пока мастер установки удалит Exchange Server 2003. Вы можете наблюдать за ходом удаления на экране компьютера. По завершении удаления закройте окно мастера.
Упражнение 2. Принудительное удаление Exchange Server 2003 из организации
Отключите все службы Microsoft Exchange на сервере и удалите следующие ключи реестра (в целях удобства форматирования название HKEY_LOCAL_MACHINE сокращено до HKLM):
HKLM \SOFTWARE\Microsoft\ESE98
HKLM \SOFTWARE\Microsoft\Exchange
HKLM \SYSTEM\CurrcntControlSct\Services\DAVEX
HKLM \SYSTEM\CurrentComrolSet\Services\EXIFS
口 HKLM \SYSTEM\CurrentControlSct\Services\ExlPC
HKLM \SYSTEM\CurrentControlSet\Scrvices\EXOLEDB
HKLM \SYSTEM\CurrentControlSct\Services\MSExchangeMU
HKLM \SYSTEM\CurrentControlSet\Services\MSExchangeES
HKLM \SYSTEM\CurrentControlSet\Services\lMAP4Svc
HKLM \SYSTEM\CurrcntControlSel\Services\MSExchangeAL
HKLM \SYSTEM\CurrentControlSet\Services\MSExchangeDSAccess
HKLM \SYSTEM\CurrentControlSet\Services\MSExchangeIS
HKLM \SYSTEM\CurrentControlSet\Scrvices\MSExchangeMGMT
HKLM \SYSTEM\CurreniControlSet\Services\MSExchangeMTA
HKLM \SYSTEM\CurrentControlSet\Services\POP3Svc
口 HKLM \SYSTEM\CurrentControlSet\Services\MSExchangeFBPublish
口 HKLM \SYSTEM\CurrentControlSet\Services\RESvc
HKLM \SYSTEM\CurrentControlSet\Ser\ices\]V1SExchangeSRS
HKLM \SYSTEM\CurrentControlSci\Scrvices\MSExchangeS
HKLM \SYSTEM\CurrentControlSct\Scrvices\MSExchangeTransport
HKLM \SYSTEM\CurrenLControlSel\Services\MSExchangeWEB
Уцалите компоненты IIS: службы SMTP, NNTP и WWW (если они не требуются другим компонентам на сервере) н файл Metabase.bin из папки Systemroot\System32\ Inetsrv. Systemroot обозначает папку, в которую установлена ОС Windows, например C:\WINNT.
Перезагрузите сервер.
Переименуйте структуры папок \Exchsrvr на всех дисках. Например, измените С:\ Exchsrvr на C:\Exchsrvrold. Это необходимо, если вы хотите сохранить какие-нибудь данные, например файлы журнала. Если это нс требуется, можно удалить структуру каталогов.
Заново установите все пакеты обновлений и файлы испранлений, которые были ранее установлены на сервер.
Примечание Есл“ вы установили сервер Exchange Server 2003 в существующий сайт Exchange 5.5, необходимо удалить объект сервера Exchange Server 2003 в программе Exchange 5.5 Administrator (Администратор Exchange 5.5). Для этого выберите объект, шелкните File (Файл), затем Delete (Уаалить).
Откройте Exchange System Manager (Диспетчер системы Exchange) (эта консоль хранится отдельно от структуры папок Exchsrvr, поэтому удаление на шаге 4 ее не затронуло) и найдите свой сервер.
Правой кнопкой мыши щелкните сервер, в контекстном меню выберите All Tasks (Все задачи) и щелкните Remove Server (Удалить сервер)*
Подтвердите удаление данных Exchange Server 2003 из AD.
Закройте Exchange System Manager (Диспетчер системы Exchange).
Резюме
Удаление сервера Exchange Server 2003 из организации обычно производится с нс- пользованием Microsoft Exchange fnstallaiion Wizard (Мастера установки Microsoft Exchange), или же сервер можно удалить вручную.
Чтобы Microsoft Exchange Installation Wizard (Мастер установки Microsoft Exchange) разрешил удалить Exchange Server 2003, необходимо принять определенные подготовительные меры.
К принудительному удалению сервера следует прибегать только как к последнему средству, если, проведя правильную подготовку, вам не удалось удалить сервер при помощи Microsoft Exchange Installation Wizard (Мастера установки Microsoft Exchange).
創 Практикум по устранению проблем
В этом практикуме вы попытаетесь удалить сервер Exchange Server 2003 из организации, в которой есть почтовый яшик пользователя, что может вызвать ошибку программы установки. Вы исправите проблему и успешно удалите сервер.
Примечание Подробнее управление получателями обсуждается в главе 7 ^Управнение объектами получателей и списками адресов% но нее необходимые для выполнения практикума сведения вы найдете в этом разделе.
Для выполнения этой лабораторной работы необходимо установить в одну организацию два сервера Exchange Server 2003, а на втором сервере создать один или несколько почтовых ящиков пользователей. Сделайте следующее (после установки Exchange Server 2003):
На втором сервере откройте консоль Active Directory^ Users And Computers (Active Directory — пользователи if компьютеры) и перейдите к контейнеру Users (Пользователи).
Создайте обычную учетную запись пользователя (Exchange Server 2003 должен быть установлен); появится дополнительное сообщение с предложением создать почтовый яшик. Примите предложение и удостоверьтесь, что почтовый ящик будет храниться на сервере, который вы впоследствии собираетесь удалить.
На сервере запустите Microsoft Internet Explorer, перейдите на страницу http:\\ serve гпа те \exchange (где serve та те — это имя вашего сервера) и войдите на сервер под только что настроенной улетно诉 записью пользователя.
Отправьте себе электронное сообщение, чтобы инициоизировать почтовый ящик.
Упражнение 1. Неуспешное удаление Exchange Server 2003
Войдите на сервер Exchange Server 2003, на котором только что создали почтовый яшик, и с установочного компакт-диска Exchange Server 2003 запустите программу установки,
Выполняйте инструкции Microsoft Exchange Installation Wizard (Мастера установки Microsoft Exchange), а на странице выбора компонентов попытайтесь для компонента Microsoft Exchange выбрать действие Remove (Удалить).
Обратите внимание, что появилось сообщение об ошибке и программа установки не может продолжить работу, так как на сервере есть один или несколько почтовых ящиков.
4* Закройте окно мастера.
4949Пракгикум по устранению проблем
49
49
Упражнение 2. Исправление ошибки и успешное удаление Exchange Server 2003
Откройте консоль Active Directory Users And Computers (Active Directory — пользователи и компьютеры).
Найдите созданную вами учетную запись пользователя, щелкните ее правой кнопкой мыши н в контекстном меню выберите Exchange Tasks (Задачи Exchange).
В открывшемся списке задач щелкните Move Mailbox (Переместить почтовый ящик).
В раскрывающемся списке Server and Mailbox (Сервер н почтовый ящик) по умолчанию должен быть выбран ваш второй сервер. Если это не так, выберите этот сервер. Для завершения щелкните Next (Далее),
Переместив почтовый я ши к. еше раз запустите Microsoft Exchange Installation Wizard (Мастер установки Microsoft Exchange), Обратите внимание, что в этот раз вьг можете выбрать действие Remove (валить) для компонента Microsoft Exchange.
ГЛАВА 3
Настройка инфраструктуры
Microsoft Exchange Server 2003
Занятие 1. Что следует рассмотреть после установки51
Занятие 2. Административные группы и группы маршрутизации60
Занятие 3. Смешанный режим и основной режим66
Занятие 4. Внешние и внутренние серверы71
Темы экзамена
■ Подготовка среды для развертывания Microsoft Exchange Server 2003.
* Управление и устранение неполадок с внешними и внутренними серверами.
・ Установка, настройка и устранение неполадок Exchange Server 2003.
В этой главе
После установки Exchange Server 2003 и создания новой организации следует рассмотреть еше несколько вопросов, относящихся к развертыванию, таких как делегирование адм ин истрати вных полномочий, установка на рабочей станции утилит администрирования, выбор для Exchange Server 2003 смешанного или основного режима работы, настройка структуры адмннмстратнвннх групп и групп маршрутизации и так далее. Большую часть задач планирования необходимо выполнять еще до установки первого сервера Exchange Server 2003. В этой главе вы узнаете, что следует предпринять, чтобы обеспечить наиболее эффективную работу Exchange Server 2003 в организации.
Прежде всего
Данная глава сосредоточена на концепциях, которые необходимо понять и рассмотреть до начала развертывания Exchange Server 2003. Однако здесь вы найдете и несколько практических задач и упражнений. Для выполнения практической работы в этой главе вам необходимо выполнить упражнения в главе 2 «Планирование инфраструктуры Microsoft Exchange Server 2003».
Занятие 1. Что следует рассмотреть после установки
После того как вы установили Exchange Server 2003, необходимо выполнить еще несколько задач по настройке сервера до того, как приступать к настройке пользователей, подключению групп маршрутизации и другим адм ин истративн ы м мероприятиям. Например, можно делегировать административные полномочия Exchange Server 2003 другому сотруднику ИТ-отдела или установить утилиты Microsoft Exchange System Management 7po/5 (Инструменты системного управления Microsoft Exchange) на рабочую станцию. В этом занятии вы выполните несколько таких задач.
Изучив материал этого занятия, вы сможете:
/ проверить, что службы Exchange Server 2003 установлены и запушены, и настроить их для использования учетной записи службы:
， делегировать полномочия Exchange Full Administrator (Полный администратор Exchange);
/ установить Microsoft Exchange System Management Tools (Инструменты системного управления Microsoft Exchange) на рабочую станцию под управлением Microsoft Windows ХР Professional;
， установить дополнительные компоненты, которые не были выбраны во время первоначальной установки Exchange Server 2003.
Продолжительность занятия — около 45 минут.
Службы Exchange Server 2003
В процессе установки Exchange Server 2003 на компьютер также устанавливаются несколько новых служб. На рис. 3-1 перечислены названия служб, значение по умолианню для параметра Startup Туре (Тип запуска), учетная запись, с которой службы регистрируются в системе [параметр Log on as (Вход в систему)], и текущее состояние служб (запущена или остановлена).
Рис. 3-1. Службы Exchange Server 2003
В табл. 3-1 перечислены названия и приведено описание служб, которые добавляются во время обычной установки.
Табл, 3-1. Службы Exchange Server 2003 и их функции
Служба
Описание
Microsoft Exchange
Event
Microsoft Exchange
IMAP4
Контролирует папки и запускает события MicrosoR Exchange Server 5.5-соаместимых серверных приложений
Предоставляет клиентам службы Internet Message Access Protocol 4 (Протокол доступа к электронной почте Интернет версии 4, 1МАР4). Если остановить эту службу, клиенты не смогут подключиться к компьютеру по протоколу IMAP4
Microsoft Exchange
Information Store
Управляет Microsoft Exchange Information Store (И нформаци он ное хранилишс Microsoft Exchange), включая хранилища почтовых ящиков и общих папок Если остановить эту службу, хранилища почтовых ящиков и обших папок на компьютере будут недоступны
Microsoft Exchange Management
Предоставляет информацию об управлении Exchange при помощи Wndaws Management Instrumentation (Инструментарий управления Windows, WMI). Если ослановить эту службу, то ненозможно будет получить ин фор манию об управлении Exchange через WMI
Microsoft Exchange
MTA Stacks
Предоставляет службы Microsoft Exchange Х.400. Службы Exchange Х.400 используются для подключения к серверам Exchange 5.5, а также используются другими коннекторами (п ользовател ьс к и мн шлюзами). Если остановить эту службу, службы Exchange Х.400 будут недоступны
Microsoft Exchange
POP3
Предоставляет клиентам службы Post Office Protocol 3 (Протокол почтового отделения версии 3, POP3* Если остановить эту службу, клиенты не смогут подключаться к компьютеру ло протоколу POP3
Microsoft Exchange
Routing Engine
Предоставляет информацию о топологии н маршр^изации серверам Exchange Server 2003. Если остановить зту службу, сведения об оптимальной маршрутизации сообщений будут недоступны
Microsoft Exchange Site Replication Service
Позволяет Exchange Server 2003 работать совместно с сайтом Exchange Server 5+5 за счет представления сервера Exchange Server 2003 другим серверам Exchange Server 5.5 в виде службы каталогов Exchange
Server 5.5. Служба Site Replication Service (SRS) по умолчанию выключена и может быть полезна только и организациях, работающих н смешанном режиме
Microsoft Exchange
System Attendant
Предоставляет службы мониторинга, поддержки н просмотра AD, такие как наблюдение за службами и коннекторами, дефрагментация хранилища Exchange и пересылка запросов просмотра AD на сервер глобального каталога. Если остановить эту службу, то службы мониторинга, поддержки и пр(кметра будут недоступна. Если отоючить эту службу, то запуск любых служб, явно зависящих от этой, будет невозможен
Зависимость служб
Зачастую исполадки Exchange Server 2003 связаны с остановленными службами. Вам может казаться, что проблема появилась в результате сбоя службы, но на самом деле эта служба могла просто остановиться, так как зависит от другой остановленной до этого слуэкбы. Например, если пользователи не могут войти на сервер Exchange Server 2003, вы проверяете список служб и замечаете, что служба information Store остановлена. Хотя проблема может быть связана и с самой службой Information Store, возможно, она остановилась только из-за остановки службы System Attendant, А служба System Attendant могла остановиться по причине зависимости от третьей остановленной службы и т. д. В табл* 3-2 перечислены завнснмостн между службами Exchange Server 2003.
Подготовка к экзамену Просмотреть список зависимых служб можно в консоли управления Services (Службы), но при выполнении заданий этого экзамена вы должны помнить о зависимостях между службами Exchange Server 2003. Возможно, вам встретятся стуации, в которых для определения истинной причины неполадок и поиска правильного решения понадобится знание зависимостей между службами.
Табл. 3-2.
Зависимости между службами Exchange Server 2003
Служба
Зависимости
Microsoft Exchange System Attendant
Event Log
NTLM Security Support Provider Remote Procedure Call (RPC)
Microsoft Exchange Information Store
RPC Locator
Сервер
Рабочая станция
Microsoft Exchange System Attendant
Microsoft Exchange 1MAP4
Exchange Installable File System (EXIFS)
Internet Information Service (HS) Admin Service
Microsoft Exchange POP3
IIS Admin Service
Microsoft Exchange MTA Stacks
Microsoft Exchange System Attendant
Microsoft Exchange Management
RPC
Microsoft Exchange Routing Engine
WMI
US Admin Service
Microsoft Exchange Event
Microsoft Exchange FnfbriTiJtion Store
Совет Зависимости могут быть многоуровневыми: одна служба зависит от другой, которая, в свою очередь, зависит от третьей и так далее. Помимо служб Exchange, такие службы, как IIS Admin Service, RPC и другие, могут зависеть от внешних служб. При устранении неполадки со службой сначала убедитесь, что никакие службы, от которых она зависит, не остановлены.
Учетные записи служб для входа в систему
На рис. 3-1 обратите внимание на столбец Log On As (Войти как). По умолчанию н Exchange Server 2003 для запуска служб используется системная учетная запись (Local System). Учетная запись Local System ——это встроенная учетная запись с полными правами администратора; с ней по умолчанию связывается большинство служб. Такие приложения, как Exchange Server 2003, автоматически выбирают эту учетную запись, так как заранее известно, что она существует н обладает всеми необходимыми разрешениями. Однако, если несколько служб используют одну н ту же учетную запись для входа в систему, решение проблем безопасности усложняется. Таким образом, для служб Exchange Server 2003 рекомендуется использовать отдельную учетную запись службы. Вы настроите для служб отдельную учетную запись далее в этом занятии.
Службы Microsoft Exchange Server 2003 и перезагрузка сервера
Любой, кто уже имеет опыт администрирования любой версии Microsoft Exchange Server 2003 в реальной обстановке, знает, что перезагрузка сервера, на котором работает Exchange Server, неважно, управляется ля он Microsoft Windows NT 4, Windows 2000 Server или Windows Server 2003, может длиться намного дольше, чем обычная перезагрузка. Exchange Server 2003 ——не исключение, а если он установлен на сервер Windows Server 2003, также выполняющий функции сервера глобального каталога, то перезагрузка может занять до 10 минут. Если Exchange Server 2003 установлен на рядовой сервер, процесс может занять чуть меньше времени, но все же длиться дольше, чем на сервере без Exchange.
Чтобы решить эту проблему, можно остановить службы Exchange до начала перезагрузки сервера. Для автоматизации этого процесса многие администраторы используют пакетный файл, который сначала останавливает службы Exchange Server 2003, а затем запускает программу Shutdowti.exe (которую можно найти в пакете ресурсов Windows NT 4, Windows 2000 Server или Windows Server 200 3 Resource Kit)* Таким способом можно существенно уменьшить время перезагрузки.
Делегирование полномочий
Таюке после установки Exchange Server 2003 следует решить, какой учетной записи пользователя делегировать административные полномочия в организации Exchange. Во время установки Exchange Server2003 права Exchange Full Administrator (Полный администратор Exchange) были автоматически переданы той учетной записи, под которой проводилась установка. Таким образом, эта учетная запись получила право настраивать все параметры организации Exchange и модифицировать разрешения. Никакая другая учетная запись прав на администрирование организации Exchange нс получает. Это означает, что любые действия по администрированию необходимо выполнять в контексте безопасности той учетной записи, под которой устанавливался Exchange Server2003. Это неудобно и зачастую неприменимо по тем или иным причинам»
Во-первых, если в организаиии несколько администраторов Exchange, вам необходимо иметь возможность отслеживать действия каждого из них по журналу безопасности, В случае, когда все адм н н и стратор ы используют одну н ту же учетную запись пользователя, задача усложняется. Другая причина заключается в том, что пароль для учетной записи службы необходимо сообщить всем адм ин истраторам, что нарушает правила безопасности. Помимо этого, в такой ситуации у всех администраторов одинаковые уровни разрешений в организации Exchange, что также нежелательно.
Лучше всего делегировать полномочия группам или отдельным пользователям, которые должны администрировать организацию Exchange. Обычная практика в администрировании системы состоит в назначении разрешений группам безопасности, тогда как отдельным пользователям разрешения выдаются только в случае крайней необходимости. Следуя этому простому правилу, администратор может более эффективно управлять и поддерживать безопасность всего предприятия.
Exchange Server 2003 поддерживает три административные роли, которые можно делегировать при помощи утилиты Exchange System Manager (Диспетчер системы Exchange): Exchange Full Administrator (Полный администратор Exchange), которой позволено полностью управлять организацией, воючая разрешения; Exchange Administrator (Администратор Exchange), которая может управлять всем, за исключением разрешений; и Exchange View Only Administrator (Администратор Exchange без права редактирования), имеющей адм и ни стр ати вн ы й доступ к Exchange в режиме только для чтения.
Внимание! Полномочия на администрирование Exchange Server 2003 можно делегировать в двух местах: на уровне организации (когда полномочия предоставляются всей организации) или на уровне адм и н истративной группы (при этом полномочия предоставляются только этой административной группе). В децентрализованной административной модели права на администрирование можно делегировать подразделению, позволив ему управлять только собственной административной группой и никакой другой. В централи зова мной администратн вной модели права на администрирование можно делегировать всей организации, чтобы не повторять процесс для каждой административной группы.
Администрирование клиентских рабочих станций
Задачи администрирования Exchange, включая делегирование полномочий, не следует выполнять напрямую с консолей сервера. В защищенных средах возможность входить на сервер локально строго ограничена и доступна только четной записи Administrator (Администратор). Правила безопасности не рекомендуют разрешать обычным учетным записям входить на серверы локально, особенно на серверы, являющиеся контроллерами домена.
Если у вас есть рабочая станция, отвечающая необходимым требованиям, можно установить на нес утилиты Microsoft Exchange System Management Таок (Инструменты системного управления Microsoft Exchange) и администрировать организацию Exchange с этого компьютера, В табл. 3-3 перечислены системные требования, выполнение которых обязательно для установки Microsoft Exchange System Management Tools (Инструменты системного управления Microsoft Exchange). Также приведены требования для не-Exchange серверов, на случай, если понадобится установить утилиты на сервер
без Exchange Server 2003. Если в требованиях указан пакет обновлений, то должен быть установлен пакет именно указанной версии или более новый, иначе утилиты невозможно будет установить. Основное требование для любой рабочей станции, с которой будет осуществляться управление организацией, заключается в том, что она должна быть членом того же домена и леса, что и орган изация Exchange.
Табл. 3-3. Системные требования для Microsoft Exchange System Management Tools
Операционная система
Требования
Windows XP Professional
SPl
Оснастка Internet Information Services (Информационные службы Интернета)
Служба Протокол Simple Mail Transfer Protocol (SMTP) (после установки службы SMTP отключите ее; службу необходимо установить для успешной работы оснастки, но она снижает безопасность системы)
Служба Веб (Mrld Wide Web, WWW) (необходима для SMTP; отключите после установки)
IVindows Server 2003 AdminPack (для Сетевого протокола пересылки новостей (Network News Transfer Protocol, NNTP) и оснастки Active Directory Users And Computers (Active Directory — пользователи “ компьютеры))
Windows XP Professional SP2
Оснастка Информационные службы Интернета (HS)
Компонент 〃5 Manager (Диспетчер служб US) (устанавливает SMTP)
Windows Server 2003 AdminPack
Windows 20(H) Professional
SP3
Оснастка Информ а ционные службы Интернета (HS)
Windows 2000 Server AdminPack [устанавливает SMTP, NNTP и оснастку Active Directory Users And Computers (Active Directory — пользователи и компьютеры))
Windows 2000 Server
SP3
Оснастка Информационные службы Интернета (I1S)
Служба SMTP (отключите после установки)
Служба NNTP (отключите после установки)
Windows Server 2003
Компонент Диспетчер служб 〃S (IIS Manager)
Установка утилит Microsoft Exchange System Management Tools (Инструменты системного управления Microsoft Exchange) схожа с установкой Exchange Server 2003. Если рабочая станция, с которой вы планируете управлять организацией, отвечает всем требованиям, просто запустите программу установки с диска с дистрибутивом Exchange Server 2003. Откроется окно Microsoft Exchange Installation Wizard (Мастера установки Microsoft Exchange). На странице Component Selection (Выбора компонентов) нужно выбрать Custom (Выборочную) установку. Выбрать следует только один компонент: Системные инструменты Microsoft Exchange (Microsoft Exchange System Management Tools),
однако, если вы также планируете управлять серверами Exchange Server 5.5, можно установить программу Microsoft Exchange 5.5 Administrator (Администратор Microsoft Exchange 5.5)* После завершения работы программы установки вы сможете запустить оснастки Active Directory Users And Computers (Active Directory — пользователи и компьютеры) и Exchange System Manager (Диспетчер системы Exchange) и выполнить административные задачи с делегированными вам правами.
Добавление и удаление компонентов
Exchange Server 2003
Может наступить такая скпуаиия, когда вам потребуется добавить или удалить компонент Exchange Server 2003. Например, для перехода с GroupWise на Exchange Sene г 2 003 вы могли установить Microsoft Exchange Connector for Novell Group Wise (Коннектор Microsoft Exchange Connector для Novell GroupWise), но теперь в нем необходимости нет, и вам нужно удалить компонент коннектора. Или, например, ваша компания неда ин о приобрела компанию, работавшую в организации Exchange 5.5, и теперь появилась необходимость установить Microsoft Exchange 5,5 Administrator (Администратор Microsoft Exchange 5,5), чтобы администрировать дополнительный сайт. Независимо от того, какие причины привели вас к этой необходимости, процесс добавления и удаления компонентов Exchange Server 2003 включает запуск программы установки Exchange Server 2003 и выбор компонентов на соответствующей странице Microsoft Exchange Installation Wizard (Мастера установки Microsoft Exchange).
Внимание! Планируя удаление компонента, важно удостовериться, что он более не используется в организации. Относительно коннекторов то означает, что необхо* димо проверить, не существует ли соглашений о соединении, которым нужен этот коннектор (подробнее о соглашениях。соединении — в главе 4). Если попытаться удалить используемый компонент, программа установки запретит это действие и выдаст ошибку,
Обычно, чтобы добавить или удалить компонент, нужно просто запустить Microsoft Exchange Installation Wizard (Мастер установки Microsoft Exchange). Однако, если мастер установки нс позволит вам выполнить требуемое действие, несмотря на вашу уверенность, <гто никаких препятствий этому не существует, можно выполнить задачу вручную.
Лабораторная работа. Что следует рассмотреть после установки
В этом практическом упражнении вы настроите службы Exchange Server 2003 так, чтобы они использовали учетную запись службы, созданную вами в главе 2, а также создадите 「рутшн безопасности для административных ролей Exchange Server 2003 и делегируете полномочия этим группам. Вы снова запустите программу установки Exchange Server 2003 и добавите программу Microsoft Exchange 5.5 Administrator (Администратор Microsoft Exchange 5,5) к первоначально установленному серверу Exchange Server 2003.
Упражнение 1. Модификация служб Exchange Server 2003
В меню Start (Пуск) выберите ЛИ Programs (Все программы), затем Administrative Tools (Администрирование) и щелкните Службы (Services^ Прокрутите список вниз, чтобы увидеть службы, название которых начинается с Microsoft Exchange,
Дважды щелкните службу Microsoft Exchange System Attendant, чтобы открыть свойства, и перейдите на вкладку Log On (Вход н систему).
Выберите параметр This Account (С учетной записью) и найдите учетную запись службы.
Дважды введите пароль учетной записи службы. Щелкните ОК, чтобы вернуться к списку служб.
Повторите процесс для всех служб Exchange Server 2003.
Перезапустите службу Microsoft Exchange System Attendant (Обслуживание системы Microsoft Exchange) и на запрос о перезапуске всех остальных служб дайте ответ Ves (Да), Удостоверьтесь, что службы перезапущены правильно, с использованием учетной записи службы, а не локальной системной учетной записи (Local System).
Упражнение 2. Делегирование административных полномочий
Откройте консоль Active Dir^clary Users And Computers (Active Directory — пользователи и компьютеры) и создайте следующие группы безопасности Windows:
Exchange FullAdmins;
Exchange Admins;
ExchangeViewAdmins.
В меню Start (Пуск) выберите All Programs (Все программы), затем Microsoft Exchange. Запустите программу Exchange System Manager (Диспетчер системы Exchange).
Правой кнопкой мыши щелкните имя организации и в контекстном меню выберите Properties (Свойства),Установите флажок Display Administrative Groups (Отображать административные группы), если он еще не установлен. Щелкните ОК. Если появится с о ответетвую шее сообщение, закройте и снова откройте Exchange System Manager (Диспетчер системы Exchange).
Правой кнопкой мыши щелкните имя организации и обратите внимание, что в контекстном меню есть пункт Delegate Control (Делегировать контроль). Правой кнопкой мыши щелкните административную группу и обратите внимание на тот же пункт.
Правой кнопкой мыши шелкните имя организации н в контекстном меню щелкните Delegate Control (Делегировать контроль). Будет запушен Exchange Administration Delegation Wizard (Мастер делегирования полномочий адм ин истрирован ия Exchange). Щелкните Next (Далее) и обратите внимание, что разрешения Exchange Full A dm inistra to г (Полный администратор Exchange) есть только у учетной записи, которая использовалась для установки Exchange Server 2003 (а также у учетной записи, которой права Exchange Full Adtninistrator (Полный администратор Exchange) были присвоены во время установки, если это не одна н та же учетная запись).
Добавьте группу безопасности Exchange Full Admifis и назначьте ей роль Exchange Full Administrator (Полный администратор Exchange). Закройте окно мастера.
Повторите процесс и назначьте группе безопасности ExchangeAdmins роль Exchange Administrator (Адм и н истратор Exchange), а группе безопасности Exchange View Admins назначьте роль Exchange 片ew Only Administrator (Администратор Exchange без права изменения).
Закончив, запустите консоль Active Directory Users And Computers (Active Directory — пользователе и компьютеры) и создайте для себя персональную учетную запись пользователя. Сделайте ее членом группы безопасности ExchangeFuUAdmins.
Упражнение 3. Добавление компонентов Exchange Server 2003
На первом сервере Exchange Server 2003 вставьте установочный диск Exchange Server 2003 в привод и запустите программу установки.
На странице выбора компонентов рядом с установленными компонентами стоят галочки. Поставьте флажок рядом с компонентом Microsoft Exchange н в раскрывающемся списке выберите Change (Изменить).
Совет Пункт Change (Изменить) необходимо выбрать для всех уровней компонентов, иначе программа выдаст ошибку. Невозможно задать изменение или установку дочернего компонента, не выбрав сначала компонент, являющийся по отношению к нему родительским.
Установите флажок (указывающий, что компонент установлен) в столбце Action (Действие) рядом с пунктом Microsoft Exchange System Management Tools (Системные инструменты Microsoft Exchange) и в раскрывающсмся списке выберите Change (Изменить).
Шелкните столбец Action (Действие) рядом с пунктом Microsoft Exchange 5.5 Administrator (Администратор Microsoft Exchange 5.5) и выберите Install (Установить).
Выполните инструкции мастера и закройте его окно. Затем убедитесь, что программа Microsoft Exchange 5.5 Administrator (Администратор Microsoft Exchange 5.5) установлена. Она должна находиться в папке Microsoft Exchange раздела All Programs (Все программы) меню Start (Пуск).
Резюме
Зачастую работа одних служб завнент от других, поэтому для эффективного устранения неполадок Exchange Sene г 2003 важно знать зависимости между службами.
В идеальном варианте административный контроль следует делегировать группам безопасности, а не отдельным людям. Делегирование контроля — это одна из первых задач, которую необходимо выполнить после установки организации, если ей будут управлять несколько администраторов Exchange.
Программу Microsoft Exchange Syatem ^fanagemetit Took (Системные инструменты Microsoft Exchange) можно установить на клиентскую рабочую станцию, отвечающую требованиям к операционной системе и компонентам.
Мминистративный контроль можно делегировать на уровне организации или административной группы.
Компоненты Exchange Server 2003 можно добавить или удалить, запустив программу установки и внеся изменения в список установленных компонентов.
Занятие 2. Административные группы и группы маршрутизации
Еще один вопрос, который необходимо рассмотреть во время планирования развертывания Exchange Server 2003, — это использование административных групп н групп маршрутизации. В одном домене с одним сервером Exchange планирование представляет собой нс слишком сложную задачу н не занимает много времени, однако в больших средах Exchange, где серверы могут устанавливаться в различных регионах, жизненно важно правильно распланировать административные группы н группы маршрутизации. Ваш план создания административных групп и групп маршрутизации повлияет, в том числе, и на выбор способа и места для установки Exchange Server 2003.
Изучив материал этого занятия, вы сможете:
понять, что такое административные группы и как они используются;
создать адм и н истрати иные группы;
понять, мто такое группы маршрутизации и как они используются;
создать группы маршрутизации.
Продолжительность занятия — около 20 минут.
Административные группы
В версиях Exchange Server до Exchange 2000 Server использовалась концепция сайтов (site), определявшая административную топологию и топологию маршрутизации в организации Exchange. Администраторам, работавшим со службой каталогов AD, концепция сайтов должна быть знакома, и она очень похожа на определение физической инфраструктуры организаиии. В Exchange Server 5.5 административная модель была напрямую связана с моделью маршрутизации и коммуникации; это определялось понятием сайта. Начиная с Exchange 2000 Server (и в Exchange Server 2003) концепция сайта была разделена на административные группы и группы маршрутизации. Единственное ограничение при использовании сайтов в предыдущих версиях Exchange Server заключалось в том, что административные требования большой организации
могли не совпадать со структурой сайта* В результате усложнялось управление административными ролями, в частности, в ситуациях, когда сайты задавались исходя из географических соображений, но администрирование при этом было централизованным. Централизованное администрирование делегировалось так, что отдельным администраторам приходилось нести ответственность за различные сайты. Сайтам Exchange Server 5.5 не хватало гибкости, их было неудобно использовать, когда возникала необходимость распределить административные роли вразрез со структурой сайтов. В Exchange Server 2003 административная топология организации Exchange определяется при помощи административных групп. Она не привязана к физической топологии, так как в большинстве организаций административная топология отличается от физической. Можно согласовать административную топологию с топологией групп маршрутизации, но Exchange Server 2003 также разрешает разделить их, если это необходимо.
Примечание Чтобы использовать административныс группы, необходимо установить Exchange Server 2003, Enterprise Edition. Версия Exchange Server 2003, Standard Edition ограничена и поддерживает только одну адм и н истратив ную группу, содержащую одну группу хранилищ, в которой находится одно хранилище почтовых яшиков и одно хранилище общих папок.
В административные группы могут входить любые объекты следующих типов:
серверы;
политики;
группы маршрутизации;
деревья общих папок.
Примечание Так как небольшим и средним компаниям адм и н истративн ые группы не требуются, по умолчанию они отключены. Необходимо включить отображение административных групп в утилите Exchange System Manager (Диспетчер системы Exchange). Правой кнопкой мыши щелкните имя организации, выберите в контекстном меню пункт Properties (Свойства) и установите флажок Display Administrative Groups (Отображать администратквные группы).
Административные группы можно представлять себе как набор перечисленных типов объектов, собранных в контейнер в целях упрощения администрирования. Вместо того чтобы назначать разрешения отдельным объектам, их можно назначить административной группе. Это упростит управление, если, например, у вас есть 25 серверов в Техасе, которым нужны одни и те же разрешения. Можно просто добавить их в одну административную группу и не заниматься настройкой разрешений на каждом сервере по отдельности. Простота особенно важна при планировании администрирования организации после первоначальной установки серверов. Если в компанию приходит работать новый администратор и вам необходимо добавить его в список администра' торов, проще это сделать, включив нового человека в административную группу чем настраивать каждый сервер отдельно.
Административные модели
Административные группы следует спланировать еще до начала установки Exchange Server 2003, хотя включить их можно и после установки. Основная причина, почему так важно планировать административные группы еще до установки Exchange, заключается в том, что в долгосрочной перспективе это упростит поддержку организации, и, если с самого начала вес сделать правильно, в дальнейшем от вас потребуется намного меньше усилий. Помимо этого, такой подход уменьшает вероятность того, что пользователи будут страдать от перерывов в работе, если вам понадобится что-либо исправить.
В зависимости от требований организации, можно использовать различные административные модели: централизованную, деценпро изо ванную или смешанную модель, которая объединяет возможности первых двух. Централизованную административную модель обычно применяют в небольших н средних компаниях, где ИТ-отдел невелик, но ее можно воплотить и в крупных организациях, если среда Exchange должна управляться централизованно несколькими сотрудниками. В централизованной модели можно использовать только одну или дне административные группы. Они не обязательно должны соответствовать физической топологии организации, поэтому, добавив в глобальной организации новые серверы в одну админ истрати вную группу, вы не измените инфраструктуру передачи сообщений.
Децентрализованная модель имеет много общего с управлением сайтами Exchange Server 5.5, где у каждого сайта был собственный административный контекст (так как маршрутизация сообщений и администрирование были тесно связаны). Децентрализованное администрирование обычно используется в крупных организациях с множеством филиалов в различных регионах, работающих независимо от остальных подразделений н имеющих собственные локальные ИТ-отделы В такой модели необходимо задавать много административных групп, возможно, по одной для каждого физического места расположения в глобальной организации.
Смешанная модель, как вы уже поняли, представляет собой комбинацию функций централизованной и децентрализованной моделей администрирования. Она часто используется крупными организациями, где, например, необходимо централизованно управлять одними аспектами Exchange Server 2003, такими как политики, и реализовать децентрализованное управление другими, например ежедневным администрированием сервера Exchange.
Совет Стоит повторить, что адм и н истрати вн ые группы никоим образом не связаны с физической структурой сетн, тогда как между группами маршрпизации и физическим строением сети связь есть (подробнее о группах маршрутизации — в следующем разделе). Важно понимать, что, применяя адм ин истрати вн ыс группы, вы получаете возможность упростить администрирование организации Exchange благодаря отсутствию зависимости от физической маршрутизации и обмена данными между серверами.
После того как вы запустили утилиты ForestPrep м Domain Prep, вы можете обратиться к Exchange System Manager (Диспетчер системы Exchange) и создать или модифицировать административные группы. Перед установкой Exchange (но после выполнения ForestPrep и Domain Prep) для модификации административных групп по умолчанию можно использовать консоль Active Directory Sites And Services (Active Directory — сайты и службы). Чтобы создать административную группу после установка! Exchange, воспользуйтесь
утилитой Exchange System Manager (Диспетчер системы Exchange), которая устанавливается одновременно с Exchange Server 2003 и находится в разделе Microsoft Exchange меню All Programs (Все программы).
Группы маршрутизации
Тогда к&к адм и н истрати вн ые группы никоим образом не связаны с физической инфраструктурой сети, группа маршрутизации связаны с ней напрямую. Группы маршрутизации очень похожи на сайты AD, используемые для группировки серверов, связанных широким надежным каналом. Необходимость в группах мартрутмзаимм наступает в случае, когда несколько физических месторасположений в сети связаны низкоскоростным глобальным подключением, например Integrated Services Digital Network (Цифровая сеть с интеграцией служб, ISDN), Рассмотрим сценарий с двумя физическими месторасположениями в Далласе и Сент-Луисе, в каждом из которых находится по пять серверов, на которые установлен Exchange Server 2003. Физически эти офисы соединены линией ISDN с пропускной способностью 128 Кбит/с. В такой среде следует создать две группы маршрутизации, по одной для каждого месторасположения. Группы будут в точности повторять структуру сайтов AD. В каждую из групп будут входить только локальные серверы, а для соединения двух групп маршрутизации необходимо будет настроить коннектор. Это может быть коннектор группы маршр^изании (предпочтительней), коннектор SMTP (для ненадежных соединений WAN) или коннектор Х.400.
Подготовка к экзамену Разработка структуры групп маршрутизации и настройка коннекторов групп маршрутизации не входит в список тем экзамена. Однако вам обяза^ тельно нужно понимать эти концепции, чтобы успешно развернуть Exchange Server 2003 в организации с несколькими офисами в различных регионах.
При установке лереого сервера Exchange Server 2003 в организации создается группа маршрутизации по умолчанию. При помощи утилиты Exchange System Manager (Диспетчер системы Exchange) вы можете переименовать эту группу; присвоив ей более понятное назван не* и создать дополнительные группы маршрутизации. Создание группы маршрутизации аналогично созданию адм и н и стративно й группы, хотя группа маршрутизации входит в адмлнистративыую группу. Как и административные группы, группы маршрутизации по умолчанию отключены. Чтобы включить их, запустите утнлнту Exchange System Manager (Диспетчер системы Exchange), правой кнопкой мыши щелкните название организации, в контекстном меню выберите пункт Properties (Свойства) и установите флажок Display Routing Groups (Отображать группы мяршрутизании).
Последующие серверы Exchange добавляются в группы маршрутизации во время процесса установки, а если необходимо, серверы можно перемещать между группами маршрутизации при помощи Exchange System Manager (Диспетчер системы Exchange). Однако обратите внимание, что в смешанном режиме между группами маршрутизации можно перемещать только серверы, принадлежащие одной адмннистративной группе. Чтобы переместить в группу маршрутизации сервер из другой административной группы, сначала его необходимо переместить в адм и ни страт» вную группу, содержаихую нужную группу маршрутизации. Или же можно переместить из одной административной группы в другую целую группу маршрутизации. Это ограничение относится только
к работе в смешанном режиме, и после переключения в основной режим оно автоматически снимается.
Еще одно преимущество групп маршрутизации заключается в том, что они предоставляют нам возможность контролировать передачу сообщений. В этом смысле они также напоминают сайты AD. В AD концспния сайтов позволяет задать области, связанные высокоскоростным под^ючснием, и области с низкоскоростным подключение ем, что упрощает пересылку трафика репликации. Серверы, принадлежащие группе маршрутизации, объединены высокоскоростным надежным подключением (например, находятся в одной локальной сети), поэтому сообщения передаются немедленно. В каждой группе маршрутизации один из серверов настраивается как сервер-плацдарм (bridgehead server), и трафик передается по низкоскоростному подключению между группами только с одного плацдарма на другой. Это позволяет оптимизировать передачу сообщений между группами маршрутизации и обеспечивает постоянную и надежную пересылку данных.
Лабораторная работа. Административные группы и группы маршрутизации
В этой лабораторной работе вы создадите структуру административных групп и групп маршрута за инн на основе указанного сценария.
Упражнение 1. Создание административных групп
Вы ведущий консультант команды, занимающейся разработкой инфраструктуры Exchange Server 2003 для компании Contoso, Lid,, производителя высококачественных электрических и акустических гитар. Компания обладает производственными площадками в США, Мекс икс, Японии и Германии, а главный офис находится в Далласе, штат Техас. Торговые офисы компании расположены в Далласе, Бостоне, Сент-Луисе, Лос- Анджелесе, Токио, Мехико и Берлине. Вы рекомендуете настроить централизованную адкпгнистративную модель для США и де централизо ван я ую для офисов в других странах. Руководство принимает ваше предложение, и вы приступаете к настройке административных групп, установив первый сервер Exchange Server 2003 и создав организацию Conioso в Далласе.
L В меню Start (Пуск) выберите All Programs (Все программы), затем Microsoft Exchange и запустите консоль Exchange System Manager.
Правой кнопкой мыши тел кит с организацию Contoso и в контекстном меню выберите Properties (Свойства).
В диалоговом окне Properties (Свойства) установите флажки для отображения адмк- нистратииных групп и групп маршрутизации. Закройте диалоговое окно, щелкнув ОК.
Появится сообщение с просьбой закрыть и перезапустить Exchange System Manager (Диспетчер системы Exchange), чтобы изменения пошли в силу. Выполните инструкции.
Разверните узел Administrative Groups (Административные группы), щелкните правой кнопкой мыши First Administrative Group (Первая административная группа) и в контекстном меню выберите Rename (Переименовать).
В поле имени введите USA, так как первый сервер вы будете устанавливать в корпоративном офисе в Далласе,
Правой кнопкой мыши щелкните контейнер Administrative Groups (Административные группы), в контекстном меню выберите New (Создать) и щелкните Administrative Group (л4дмин истративна я группа). В поле имени введите Germany и щелкните ОК. Обратите внимание на административную группу USA, которую вы изменили на консоли Active Directory Sites And Services (Active Directory — сайты и службы).
Повторите процесс и создайте административные группы для Мексики и Японии.
Упражнение 2. Создание групп маршрутизации
В этом упражнении вы будете следовать тому же сценарию, что н в упражнении 1} но на этот раз создадите группы маршрутизации. Так как представител ьства в других странах имеют по одному офису, то для каждой административной группы нужно создать по одной группе маршрутизации. В административной группе USA группу маршрутизации по умолчанию необходимо переименовать, а также создать по одной группе маршрутизации для каждого офиса (Даллас, Бостон, Сен-Луис и Лос-Анджелес).
Если эта консоль еще не открыта, откройте консоль Exchange System Manager (Диспетчер системы Exchange),
Разверните узел Administrative Groups (Административные группы), чтобы видеть все административные группы.
Разверните узел административной группы USA, затем разверните узел Routing Groups (Группы маршрутизации).
Обратите внимание, что Exchange настроил группу маршрутизации по умолчанию с именем First Routing Group (Первая группа маршрутизации). Щелкните ее правой кнопкой мыши и присвойте новое имя Dallas.
Правой кнопкой мыши щелкните узел Routing Groups (Группы маршрутизации) в узле административной группы USA, в контекстном меню выберите New (Создать) и щелкните Routing Group (Группа маршрутизации). Введите Boston и щелкните ОК,
Повторите процесс и создайте в административной группе USA группы маршрутизации Sf. Louis и Los Angeles,
Разверните узел административной группы Japan. Повторите шаг 5 и создайте группу маршрутизации Tokyo в административной группе Japan.
Повторите процесс и создайте группы маршрутизации Mexico City и Berlin в административных группах Mexico и Germany, соответственно.
Резюме
Административные группы и группы маршрутизации по умолчанию отключены. Чтобы получить возможность просматривать и управлять группами, необходимо вьючить их в утилите Exchange System Manager.
Адми нистративные группы определяют адм инистративную топологию организации Exchange, которая может отличаться или совпадать с фнзнческо^ тополотаей.
Группы маршрутизации определяют физическую топологию организации Exchange и принадлежат административным группам.
В смешанном режиме по умолчанию серверы нельзя перемешать между группами маршрутизации, принадлежащими разным административным группам. Сначала сервер необходимо переместить в другую адми нистративную группу или же изменить смешанный режим на основной.
Группы по умолчанию First Adminiatrative Group (Первая административная группа) и First Routing Group (Первая группа маршрутизации) можно переименовать в консоли Active Directory Sites And Services (Active Directory — сайты и службы) до начала установки Exchange Server 2003, но после выполнения ForestPrep и DomainPrep.
После установки Exchange Server 2003 управление административными группами и группами маршрутизации осуществляется в утилите Exchange System Manager (Дис- nepiep системы Exchange).
■ Административные группы создаются согласно административной модели: централизованной, децентрализованной или смешанной.
Занятие 3. Смешанный режим и основной режим
Планируя развертывание Exchange Server 2003, необходимо решить, в каком режиме будет работать организация Exchange. Так как по умолчанию Exchange устанавливается в смешанном режиме, не обязательно принимать решение до начала первоначальной установки, однако важно определиться заранее, если в настоящее время ви поддерживаете или осуществляете переход из среды Exchange Server 5.5.
Изучив материал этого занятия, вы сможете:
/ понять концепции, лежащие в основе смешанного и основного режимов;
/ понять преимущества и ограничения смешанного режима;
丿 понять преимущества и ограничения основного режима;
，узнать, когда удобно переключаться из смешанного режима в основной.
Продолжительность занятия — около 25 минут.
Концепции, лежащие в основе смешанного и основного режимов
Организация Exchange Server 2003 может работать в одном из двух режимов: основном или смешанном. В основном режиме вы получаете доступ к полной функциональности Exchange Server 2003, тогда как в смешанном режиме возможности ограничены, хотя
преимуществом этого режима является возможность взаимодействия между Exchange Server 2003 и Exchange Server 5*5. Во время установки Exchange Server 2003 организация Exchange по умолчанию переключается в смешанный режим. Этот режим по умолчанию гарантирует возможность совместной работы с уже установленными предыдущими версиями Exchange, а также со старыми версиями Exchange, которые будут установлены позже. Например, вы сможете установить сервер Exchange Server 5.5 в будущем, даже если на момент установки в организации нет серверов Exchange Server 55 Подобная ситуация может возникнуть в случае объединения вашей компании с другой, до сих пор работающей под управлением Exchange Server 5.5.
Концепция смешанного и основного режимов организаций во многом схожа с концепцией смешанного и основного режима доменов в AD. Они называются режимами в Windows 2000 Server и функциональными уровнями в Windows Server 20 0 3, но эти термины обозначают одно и то же. Выбирая режим, вам всегда приходится выбирать между функционхчьностью и обратной совместимостью. Либо вы получите новые возможности продукта в полном объеме, либо они не будут совместимы с предыдущими версиями продукта. Между режимом домена и режимом организации Exchange не существует прямой зависимости. В Exchange Server 2003 выбрать основной млн смешанный режим можно только на уровне организации.
Подготовка к экзамену Если организация работает в основном режиме, то в ней могут существовать только серверы Exchange 2000 Server и Exchange Server 2003. Серверы под управлением Exchange 2000 Server и Exchange Server 2003 мог)т совместно существовать в основном режиме, так что не забывайте об этом, когда в заданиях на экзамене появятся серверы Exchange 2000 Server
Чтобы продемонстрировать важность выбора режима для организации Exchange Server 2003, попробуем сравнить преимущества и ограничения каждого режима. Л юбое преимущество или ограничение может стать решающим фактором в плане развертывания, заставнв вас либо как можно скорее переключиться 日 основной режим, чтобы воспользоваться всеми новыми функциями продукта, либо остаться в смешанном режиме и получить возможность работать с предыдущими версиями Exchange Server, старыми приложениями или коннекторами.
Преимущества и ограничения смешанного режима
Смешанный режим организации Exchange предназначен для обеспечения обратной совместимости с предыдущими версиями Exchange Server и другим программным обеспечением. Различия между смешанным и основным режимами в основном связаны с концепцией административных групп и групп маршрутизаишк Главное предназначение смешанного режима состоит в том, чтобы ликвидировать разрыв между сайтами Exchange Server 5.5 и организациями Exchange 2000 Server н Exchange Server 2003, заставив последние версии работать в пределах, задаваемых сайтами Exchange Server 5.5. В смешанном режиме невозможно независимо управлять адм и н истрати вн ым и группами м группами маршрутизации. Другими словами, адм и н и страти вн ыс группы и группы маршрутизации полностью соответствуют сайтам и не обладают такой гибкостью, как в основном режиме организации Exchange*
Преимущества смешанного режима
Оставив организацию Exchange в смешанном режиме, вы гарантируете возможность совместной работы серверов Exchange Server 2003 с предыдущими версиями Exchange, даже если они будут установлены позже. Далее перечислены преимущества смешанного режима организации Exchange.
Возможность совместной работы серверов Exchange Server 2003 и Exchange Server 5.5:
口 не 1ребующая вмешательств маршрутизация между Exchange Server 2003 и Exchange Server 5,5;
Exchange Server 2003 может использовать существующие коннекторы и шлюзы Exchange Server 5.5 для общения с прочими системами электронной почты и маршрутизации электронных сообщений;
объектами Exchange Server 5,5 (пользователями, специальными получателями и списками распространения)t как и объектами Exchange Server 2003 (пользователями, контактами и группами) можно управлять из AD;
к общим папкам, реплицируемым между Exchange Server 2003 и Exchange Server 5.5, можно получать безопасный доступ с компьютеров-клиентов под управлением других систем.
Серверы под управлением Exchange Server 5.5 можно устанавливать позже.
Все объекты службы каталогов Exchange Server 5.5, такие как серверы и коннекторы, реплицируются на Exchange Server 2003 и отображаются в консоли Exchange System Manager (Диспергер системы Exchange).
Ограничения смешанного режима
Когда организация Exchange работает в смешанном режиме, возникают ограничения и проблемы, о которых вам не следует забывать:
сайты Exchange Server 5,5 напрямую привязаны к административным группам;
административные группы напрямую привязаны к сайтам Exchange Server 5.5, что делает невозможным создание административных групп, независимых от инфраструктуры маршрутизации;
почтовые ящики можно переметать только между серверами, принадлежащими одной административной группе;
в группе маршрутизации могут состоять только серверы, установленные в административной группе, определенной вместе с группой маршрутизации;
серверы можно перемещать между группами маршрутизации, но все члены всех групп маршрутизации должны быть членами одной административной группы;
если просматривать системные объекты Exchange 5.5 в утилите Exchange System Manager (Диспетчер системы Exchange), то их свойства будут доступны только для чтения;
некоторые команды могут работать не так, как ожидается, из-за особенностей вза・ имодействия между старыми и новыми компонентами и инструментами управления. Например, при помощи Exchange System Manager (Диспетчер системы Exchange)
невозможно просмотреть таблицы ресурсов из базы данных сервера Exchange Server 55
Администрирование смешанного режима
В сайте Exchange Server 5.5 все серверы не только управляются как единая группа, но между ними установлено надежное высокоскоростное соединение для быстрого обмена сообщениями. Однако, если организация Exchange Server 2003 работает в смешанном режиме, а сайты Exchange Server 5.x напрямую связаны с административными группами, разделить структуру маршрутизации для серверов Exchange Server 2003 можно, используя группы маршрутизации. Сервер не может принадлежать группе маршрутизации, входящей в другую административную группу.
Из-за ограничений смешанного режима большинство организаций предпочитают работать в основном режиме, если у них нет специфических требований, относящихся к поддержке серверов и сайтов Exchange Server 5.5.
Преимущества основного режима
Если переключить организацию Exchange из смешанного режима в основной, она больше не сможет работать совместно с системами Exchange Server 5,5, В организацию Exchange в основном режиме могут входить серверы Exchange 2000 Server и Exchange Server 2003, а переключить организацию в основной режим можно, только если все серверы Exchange в ней — это серверы Exchange 2000 Server и Exchange Server 2003,
Псрек-пючайте организацию Exchange в основной ре*нм, если выполнены следующие условия:
в вашей организации нет серверов Exchange Server 5.5 (вы либо перешли с этой версии на новую, либо вывели старые серверы из эксплуатации, либо у вас их нн- когда не было и не будет);
вы не планируете добавлять серверы Exchange Server 5.5 в организацию в будущем, например в результате слияния или приобретения компании, работающей под Exchange Server 5*5;
вашей организации никогда не потребуется возможность совместной работы с серверами Exchange Server 5.5;
в вашей организации нет коннекторов или программных шлюзов, поддерживающих только Exchange Server 5.5.
Внимание! После переключения из смешанного режима в основной организация более не в состоянии работать совместно с системами Exchange Server 5.5. Это не означает, что теперь вы не сможете отправить или получить электронное сообщение с серверов Exchange Server 5.5, но не требующая вмешательства интеграция в одной организации Exchange будет невозможна. Важно помнить, что преобразование в основной режим — это разовая операция, последствия которой отменить невозможно.
Преимущества основного режима
Переключение организации Exchange в основной режим предоставляет вам доступ к полной функциональности н гибкости Exchange Server 2003 при управлении системой обмена сообщениями:
большая гибкость при определении и администрировании административных групп. Так как административные группы не привязаны к сайтам Exchange Server5.5, у вас появляется возможность максимально использовать все возможности модели с административными группами (подробнее об этом — в главе 3, занятие 3);
возможность перемещать почтовые ящики между серверами в разных административных группах (подробнее об этом — а главе 7, занятие 3);
возможность независимо настраивать административные группы и группы маршрутизации, так как между ними более нет связей, служащих цели поддержки модели сайтов (подробнее об этом — в главе 3, занятие 3);
группы распространения на основе запросов (query-based distribution groups, QDG) можно создавать только в основном режиме организации Exchange (подробнее об этом — в главе 7, занятие 2);
■ если пары плацдармов маршрутизации обновить до Exchange Server 2003 в организации с основным режимом, они будут использовать режим передачи данных 8BITMIME, а не преобразовывать информацию в 7-битный режим. Это заметно снижает трафик в глобальной сети по сравнению с коннекторами групп маршрутизации (Routing Group Connectors) (подробнее об этом ——в главе 5, занятие 1).
Переключение в основной режим
Чтобы переключить организацию в основной режим, нужно открыть Exchange System Manager (Диспетчер системы Exchange), правой кнопкой мыши щелкнуть имя органн- зации наверху окна н в контекстном меню выбрать пункт Properties (Свойства). Откроется окно свойств, показанное на рис. 3-2.
Как показано на рис+ 3-2, на вкладке General (Общие) есть кнопка Change Mode (Изменить режим). Если организация находится в основном режиме, эта кнопка недоступна, но если пока что включен смешанный режим, сменить его можно, щелкнув эту кнопку. При этом откроется сообщение с предупреждением о том, что после взпепне- ния данной операции вернуться обратно в смешанный режим будет невозможно.
Резюме
Exchange Server 2003 по умолчанию устанавливается в смешанном режиме. При необходимости следует вручную изменить режим на основной,
Смешанный режим обеспечивает обратную совместимость с серверами и сайтами Exchange Sener 5.5 с потерей гибкости и функциональности административных групп и групп маршрутизации Exchange Server 2003.
Основной режим позволяет независимо друг от друга настраивать ад ми нистрати вн ые группы и группы маршрутизации.
Переключение из смешанного режима в основной ——это разовая операция, отменить которую впоследствии невозможно.
Рис. 3-2. Окно свойств организации
Занятие 4. Внешние и внутренние серверы
В небольших организациях обычной практикой является установка сервера Exchange Server 2003, который выполняет все задачи, относящиеся к системе Exchange: хранение виртуальных Интернст-ссрвсров, почтовых ящиков и т. п. В больших организациях с более сложной сетевой инфраструктурой, использующих несколько брандмауэров, демилитаризованных зон (demilitarized zones, DMZ, также называемых пограничными сетями) и множество серверов Exchange, удобно распределять роли Exchange Server между внешними (front-end) и внутренними (back-end) серверами. Конфигурацию внешних и внутренних серверов необходимо тщательно спланировать еще до установки серверов Exchange Server 2003 в организации. Это особенно важно, если вы собираетесь приступить к масштабному развертыванию, включающему несколько серверов Exchange Server 2003, когда перед вами поставлены сложные требования относительно организации доступа к сети и серверам из-за пределов брандмауэра.
Изучив материал этого занятия, вы сможете:
понять концепцию внешних и внутренних серверов;
понять, когда следует использовать конфигурацию внешних м внутренних серверов.
Продолжительность занятия — около 15 минуГи
Архитектура внешних и внутренних серверов
Настроив архитектуру внешних и внутренних серверов, вы получаете возможность управлять протоколами доступа к Интернету на сервере, отделенном от серверов, где находятся хранилиша почтовых ящиков и общих папок. Разделяя задачи между серверами, вы оставляете внешним серверам обработку входящих запросов на соединение от клиентов, тогда как внутренние серверы используются только для хранений почтовых ящиков и публичных папок.
Все внешние и внутренние серверы должны находиться в одном лесу AD. В версии Exchange 2000 Server на внешние серверы необходимо было устанавливать Enterprise Edition, но новая версия, Exchange Server 2003, Standard Edition, поддерживает конфигурацию внешнего сервера. Характеристикой и обязательным требованием внешних серверов является тот факт, что на них невозможно хранить почтовые ящики или общие папки. Другими словами, они не могут выступать в роли хранилищ почтовых ящиков или общих папок.
Преимущества архитектуры внешних и внутренних серверов
Использование архитектуры внешних и внутренних серверов обеспечивает следующие преимущества:
Унифицированное пространство имен В большой организации с множеством серверов Exchange использование внешних серверов упрощает администрирование. Основным преимуществом архитектуры внешних и внутренних серверов является возможность определить единое, единообразное пространство имен, в котором пользователи смогут обращаться к своим почтовым ящикам, даже если они хранятся на различных серверах (например, http://www.contosoxom/exchange для Outlook Web Access). Пользователям нс обязательно знать имена серверов, на которых хранятся их почтовые ящики, а если у вас возникнет необходимость переместить почтовые ящики пользователей с одного сервера на другой, перенастраивать клиентские компьютеры также не придется.
Уменьшение нагрузки на SSL Если соединение создается с использованием SSL (Secure Sockels Layer, Уровень безопасного соединения), при передаче информация зашифровывается и расшифровывается, что нагружает процессор и может снизить производительность сервера. В системе с внешними и внутренними серверами применять шифровку при обмене данными с клиентом может только внешний сервер, и тогда межиу внешними и внутренними серверами коммуникация будет осуществляться без траты временя и ресурсов на шифрование SSL. В результате производительность сервера улучшится, и система получит возможность обслуживать больше клиентов, чем если бы все задачи выполнял один сервер.
Брандмауэры Внутренний сервер можно защитить брандмауэром, разрешающим обмен данными только с внешним сервером. Помимо этого, внешний сервер также можно установить за брандмауэром, который будет пропускать трафик из Интернета только на внешний сервер. Таким образом, внешний сервер обеспечит дополнительный уровень безопасности, так как на нем не хранится информация о пользователях. Также на внешнем сервере можно включить аутентификацию запросов перед отправкой их на внутренний сервер. Это позволит защитить внутренние серверы от большей части атак DoS (denial of service, воздействие, вызывающее отказ в обслужи ван нм законных пользователей).
Внешнему серверу не требуется много дискового пространства, но его необходимо оснастить быстрым процессором и большим объемом оперативной памяти. Если же на внешнем сервере включить службу SMTR то следует настроить резервное копирование жестких дисков, так как служба SMTP записывает почтовые сообщения, находящиеся в очереди, на локальный жесткий диск. Помимо этого, если внешний сервер имеет выход в Интернет н принимает сообщения от пользователей Интернета, убедитесь, что на нем установлено хорошее антивирусное ПО.
Совет Для увеличения производительности на внешнем сервере можно использовать плату ускорителя SSL или установить между клиентами и внешним сервером внешнее устройство ускорения SSL. Если внешних серверов немного, то более простым и выгодным решением станет плата ускорителя SSL. В случае большого количества серверов лучше отдать предпочтение внешнему ускорителю, так как записать и настроить сертификат SSL нужно только один раз.
Сценарии с использованием внешних и внутренних серверов
Далее описано несколько ситуаций, в которых часто используется архитектура внешних и внутренних серверов.
Обычная топология внешних и внутренних серверов
Для поддержки единого пространства имен для серверов электронной почты в ситуации, когда пользователи распределены между несколькими серверами, можно настроить один сервер в качестве внешнего и добавить несколько внутренних серверов. В такой ситуации, задав перенаправление всех пользователей HTTP, POP3 и 1МАР4 на внешний сервер, необходимо удостовериться, что все виртуальные серверы и каталогм на внешнем сервере настроены идентично внутренним серверам. Благодаря этому вы предоставите всем внешним пользователям общее имя почтового сервера, к которому они смогут обращаться, не беспокоясь о том, на каком физическом сервере в действительности хранятся их почтовые ящики. Внешний сервер самостоятельно найдет на внутренних серверах подходящий почтовый ящик и отдаст пользователю необходимые данные сообщений.
Примечание Виртуальные серверы и виртуальные каталоги протокола Интернета (Inteniet Protocol) подробно рассматриваются в главе 9 «Виртуальные серверы».
Внешний сервер за брандмауэром
Одно из основных преимуществ архитектуры внешних и внутренних серверов относится к возможности предоставлять услуги электронной почты пользователям Интернета. Обычно для работы с электронной почтой Exchange Server используется Outlook Wbb Access (OWA) — функция, которая за счет интеграции с информационными службами Интернета (HS) позволяет пользователям получать доступ к почтовым ящикам и общим
папкам через браузер. Чтобы обеспечить должную безопасность, но в то же время разрешить пользователям обращаться к данным через Интернет при помощи OWA, POP3 и IMAP4, можно закрыть организацию Exchange корпоративным брандмауэром. Как минимум, на брандмауэре должна быть реализована фильтрация портов, защищающая внешний сервер от потенциальных опасностей из Интернета. Если ваш брандмауэр поддерживать фильтрацию [Р-адресов, необходимо настроить эту функцию так, чтобы разрешить запросы, адресованные внешнему серверу, и заблокировать все запросы к остальным серверам организации. Такая конфигурация не позволит внешним пользователям подключиться к другим портам кроме указанных портов электронной почты на внешнем сервере, а доступ напрямую к внутренним серверам (и другим типам серверов) будет вовсе запрещен. Это обеспечивает дополнительный уровень безопасности в добавление к обычной топологии внешних и внутренних серверов.
Балансировка нагрузки на внешний сервер
Чтобы обеспечить единое пространство имен, в котором пользователи смогут получать доступ к своим почтовым ящикам без перегрузки или сбоя единственного уязвимого звена, которое представляет собой внешний сервер, распределите нагрузку на несколько внешних серверов при помоши утилиты Балансировка нагрузки сети (Network Load Balancing). Используемое решение для балансировки нагрузки должно гарантировать, что каждый пользователь в течение всего сеанса всегда будет направляться к одному и тому же внешнему серверу. Чтобы иметь возможность запускать утилиту Балансировка нагрузки сети (Network Load Balancing), необходимо установить Windows 2000 Server Enterprise Edition или Windows Server 2003 Enterprise Edition.
Примечание Подробнее об утилите Балансировка нагрузки сети (Network Load Balancing) — см. главу 6 “Microsoft Exchange Server 2003 и кластерные среды». В этой главе вы узнаете, как настроить Exchange Server 2003 в качестве внешнего сервера, как управлять архитектурой внешних и внутренних серверов и как устранять связанные с ними неполадки.
Резюме
Архитектура внешних и внутренних серверов — это эффективный способ упростить доступ удаленных пользователей к почте и лапкам в унифицированном пространстве имен.
Архитектура внешних и внутренних серверов позволяет создать более безопасную среду Exchange за счет того, что внешним пользователям запрещается напрямую обращаться к серверам, где хранятся данные почтовых ящиков.
Архитектура внешних и внутренних серверов может снизить нагрузку на серверы почтовых ящиков за счет переноса всех задач шифрования SSL данных, передаваемых между внешним сервером и клиентом, только на внешний серэер.
ГЛАВА 4
Совместная работа с Microsoft
Exchange Server 5.5
Занятие 1 *
Занятие 2.
Подключение Exchange Server 5.5 к Active Directory76
Установка Exchange Server 2003 в существующей организации
Exchange Server 5.594
Занятие 3.
Устранение неполадок с соединением между Active Directory и Exchange Server 5.5104
Темы экзамена
Настройка и устранение неполадок Microsoft Exchange Server 2003 в случае совместной работы с существующей организацией Microsoft Exchange Server 5.5.
Подготовка среды для развертывания Exchange Server 2003.
Установка, настройка и устранение неполадок Exchange Server 2003.
Диагностика проблем сетевого подключения.
В этой главе
При установке Exchange Server 2003 в организации используется один из следующих сценариев:
первая установка Exchange Server 2003 в организации, где до этого не использовались системы электронной почты (типично для новых организаций);
переход на Exchange Server 2003 с другой системы электронной почты, например Lotus Notes или Novell GroupWise;
обновление до Exchange Server 2003 с предыдущей версии Exchange Server;
установка Exchange Server 2003 в среде, где уже присутствуют предыдущие версии Exchange Server.
Чаще всего развертывание Exchange Server 2003 производится по одному из трех последних сценариев, которые и будут темой этой главы и главы 5 «Переход с Microsoft Exchange Server и других систем электронной почты».
Эта глава посвящена подготовке Exchange Server 5*5 к совместной работе с Exchange Server 2003 и установке Exchange Server 2003 в существующую организацию Exchange Server 5,5, Перед тем как устанавливать Exchange Server 2003 в организации с Exchange
Server 5.5, необходимо подключить Exchange Server 5.5 к службе каталогов AD. В этой главе вы узнаете, как это сделать, а также как настроить Exchange Server 2003 и Exchange Server 5.5 для совместного использования информации.
Прежде всего
Для выполнения практических упражнений в этой главе вам понадобится следующее: ■ сервер под управлением Microsoft Windows 2000 Server SP3 или более поздней версии и Exchange Server 5.5 SP3 или более поздней версии. Этот сервер необходимо установить под именем ServerO L Он также должен являться контроллером домена в домене litwareinc.com. В этой главе установка и настройка Exchange Server 5.5 не рассматривается, так как предполагается, что вы уже сделали это;
сервер под управлением Windows Server 2003, установленный в качестве рядового сервера в домене litwareinc.com. Его необходимо установить под именем Server02.
Занятие 1. Подключение Exchange Server 5.5 к Active Directory
Приложение Exchange Server 5.5 было разработано еще до появления AD и обладает некоторыми функциямиt схожими с AD. Например, в Exchange Server 5.5 предусмотрен каталог для хранения почтовых ящиков и информации о настройках. Exchange Server 2003 предназначался для работы в Microsoft Windows NT 4 — сетевой операционной системе, не поддерживающей каталоги. В результате базы данных учетннх записей Windows NT существовали отдельно от почтовых яшикоэ Exchange, и никоим образом не были интегрированы друг с другом* Почтовые ящики Exchange привязывались к учетным записям Windows NT в целях проведения проверки подлинности, н。с любым почтовым яшиком Exchange можно было связать любую учетную запись Windows N工 а одну учетную запись нельзя было привязать к нескольким почтовым ящикам Exchange.
В противоположность этому Exchange Server 2003 тесно интегрируется с AD, и между учетной записью пользователя и почтовым яшиком существует прямая связь. Это не два различных объекта, как в случае с Windows NT 4 и Exchange Server 5.5. Первая задача, которую вам придется выполнить, чтобы добиться успешного совместного существования разных версий сервера,——это подключение каталога Exchange Server 5.5 к AD. Только после этого можно будет начинать развертывание Exchange Server 2003 в существующей организации Exchange Server 55
Изучив материал этого занятия, вы сможете:
установить Active Directory Connector (коннектор Active Directory; ADC);
научиться использовать утилиту ADC Tools (Инструменты ADC);
настроить соглашение о соединении.
Продолжительность занятия — около 75 минут.
Установка коннектора Active Directory
Как упоминалось ранее, так как Exchange Server 5.5 разрабатынался специально для среды Windows NT 4, не поддерживающей каталоги, в этом приложении реализован собственный каталог; но не предусмотрено способов для общения с AD. Для решения этой проблемы Microsoft представила Active Directory Connector (коннектор Active Directory, ADC). Существует три версии ADC: для Windows 2000 Server, для Exchange 2000 Server и для Exchange Server 2003 (эта глава фокусируется на версии ADC для Exchange Server 2003). Функциональность версии для Windows 2000 Server была ограничена: этот коннектор поддерживал только синхронизацию контекста именования сайтов (Site Naming context). Хотя коннектор мог синхронизировать между Exchange Server 5.5 и AD информацию об учетных записях, синхронизация контекста именования конфигурации (Configuration Naming context) отсутствовала. Следовательно, при установке Exchange 2000 Server в организации Exchange Server 5,5 его использовать было невозможно.
Версия коннектора Exchange 2000 Server обладала более широкими возможностями, чем версия Endows 2000 Server, и поддерживала всестороннее соединение AD с Exchange Server 5.5, но в реальной среде работать с ней было неудобно, так как все приходилось настраивать вручную. Версия коннектора Exchange Server 2003 представляет собой улучшенную версию Exchange 2000 Server. Этот коннектор предлагает несколько мастеров, помогающих администратору настраивать свойства ADC. Хотя мастера существенно упрощают внедрение ADC, администраторам, тем не менее, полезно уметь настраивать соглашения о соединении и прочие параметры вручную.
Соглашение о соединении определяет односторонний или двусторонний обмен информацией между источниками данных. В этой главе основной акцент сделан на подключение Exchange Server 5.5 к AD. В данном контексте соглашение о соединении описывает, как информация, например почтовые ящики из организации Exchange Server 5.5, реплицируется в данные учетных записей AD и наоборот.
Планирование развертывания ADC
ADC реализован в виде службы в домене AD. Выбор места для установки ADC — это одно из самых важных решений, так как для работы коннектора может потребоваться много системных ресурсов. Обычно ADC устанавливается на рядовой сервер в том же сайте, где находится сервер под управлением Exchange Server 5.5. Вряд ли вам понравится ситуация, когда сервер, где установлен ADC, и сервер с Exchange Server 5.5, синхронизирующийся с ADC, разделены медленным подключением (если оно вообще присутствует). Медленное подключение обычно ассоциируется с подключением к глобальной сети, но в качестве медленного можно рассматривать любое соединение со скоростью меньше 10 Мбит/с.
В среде с несколькими доменами ADC использует сервер глобального каталога AD, поэтому, настраивая после установки соглашения о соединении, используйте контроллер домена AD, являющийся глобальным каталогом, или, по крайней мере, находящийся в той же подсети» что н глобальный каталок
На одном сервере может существовать только один экземпляр службы ADC, но службу ADC можно при необходимости установить на несколько серверов в домене (например, для обеспечения отказоустойчивости). Если у вас несколько доменов, то необходимо установить, по меньшей мере, один экземпляр службы ADC в каждом
домене. Однако для обеспечения удобного администрирования организации можно установить столько экземпляров утилит ADC Management (Управление ADC), сколько необходимо.
Установка ADC
Учетная запись, под которой устанавливается ADC, должна быть членом групп Schema Admins (Администраторы схемы) и Enterprise Admins (Администраторы предприятия). В небольших структурах AD можно использовать доменную учетную запись Администратор, но в больших производственных средах учетная запись Администратор данного домена может нс принадлежать группе Schema Admins (Администраторы схемы) или Enterprise Admins (Администраторы предприятия). Причина заключается в том, что только учетная запись Администратор корневого домена леса входит в эти группы по умолчанию. Если у вас есть дочерние домены или дополнительные доменные деревья в лес% то учетные записи Администратор для этих доменов по умолчанию нс будут являться членами необходимых групп*
Перед тем как устанавливать ADC, необходимо запустить Forest Prep и Domain Prep. Если ADC Setup Wizard (Мастер установки ADC) обнаружив что вы предварительно нс выполнили Forest Prep, он расширит схему самостоятельно, но если не выполнить Dorna in Prep, то позже, при настройке соглашений о соединении, у вас возникнут проблемы, так как мастер создает две локальные группы домена Exchange Services (Службы Exchange) и Exchange Administrators (Администраторы Exchange).
При последующих установках ADC в том же лесу схема AD не изменяется и объекты домена не создаются, поэтому для установки всех коннекторов кроме первого необходимо только, чтобы учетная запись была членом группы Enterprise Admins (Администраторы предприятия).
Установке ADC посвящено практическое упражнение в конце занятия.
Использование утилиты ADC Tools
После завершения установки АВС можно приступать к настройке синхронизации AD с каталогом Exchange Server 5.5. Это делается на консоли Active Directory Connector Services (Службы ADC), которую можно открыть через меню Start (Пуск), Microsoft Exchange. После открытия консоли вам будет предложено выбрать один из двух вариантов: Active Directory Connector (имя сервера) н ADC Tools (Инструменты AJ)C). Первый позволяет настроить соглашения о соединении ADC и прочие параметры вручную. Второй, .4DC Tools (Ииструменты ADC), помогает провести настройку при помощи нескольких мастеров. На рис. 4-1 показана страница ADC Tools (Инструменты ЛВС).
Работа с утилитой ADC Tools (Инструменты ADC) разбивается на четыре этапа,
Определение параметров, которые будут использоваться в процессе. Это могут быть настройки сервера Exchange Server 5.5г порт протокола облегченного доступа к ката- лог)г (Lightweight Directory Access Protocol, LDAP) или же каталог; в который будут записываться файлы журнала, создаваемого утилитой A DC Tools (Инструменты ADC).
На втором этапе вы вводите информацию о сайтах Exchange Server 5*5, необходимую для выполнения следующих этапов, и указываете учетные записи, связанные с несколькими почтовыми ящиками в организации Exchange Server 55 Также нужно
Рис. 4-L Страница ADC Tools
перечислить объекты Exchange Server 5.5, не связанные ни с одним объектом в AD и наоборот.
Запуск Resource Mailbox Wizard (Мастер почтовых ящиков ресурсов). Он позволяет вам вручную решить проблемы, используя данные, собранные на втором этапе. Например, если в AD есть учетная запись пользователя, связанная с несколькими почтовыми ящиками Exchange Server, можно выбрать основной почтовый ящик для данной учетной записи (и указать, какие почтовые ящики будут использоваться как дополнительные ресурсы). В Exchange Server 5.5 с одной учетной записью Windows NT очень часто связывалось несколько почтовых ящиков, так как база данных учетных записей Windows NT не была интегрирована в каталог Exchange Server 5.5. Начиная с Exchange 2000 Server, н в Exchange Server 2003, тесно интегрированных с AD, не- обходи мо задавать однозначные взаимоотношения между учетными записями пользователей и почтовыми ящиками. Следовательно, здесь в качестве основного можно выбрать только один почтовый ящик, связанный с учетной записью пользователя. Для почтовых ящиков, используемых в качестве дополнительных ресурсов, будут созданы и сразу же отключены новые учетные записи AD.
Запуск Connection Agreement Wizard (Мастер соглашений о соединении), предназначенного для задания соглашений о соединении между организацией Exchange Server 5.5 и AD. Соглашения о соединении определяют, будут ли изменения, сделанные в каталоге Exchange Server 5.5, реплицироваться (или синхронизироваться, что обозначает одно и то же) в AD и наоборот. Помимо этого, в некоторых случаях можно контролировать объем данных репликации. Например, можно разрешить репликацию из каталога Exchange Server 5.5 только почтовых ящиков и списков распространения, но не специальных получателей. Выбрать данные для репликации можно в соглашении о соединении.
Завершив процесс настройки с использованием утилиты ADC Toots (Инструменты ADC), можно проверить синхронизацию каталога. Создайте в Exchange Administrator (Администратор Exchange) новый почтовый ящик и выберите параметр Create A New Windows NT Account (Создать новую учетную запись Wndows NT). После того как ящик будет создан, вы должны заметить новую учетную запись пользователя в консоли Active Directory Users and Computers (Active Directory — пользователи и компьютеры).
Настройка соглашения о соединении вручную
Хотя утилиты ADC 7bols (Инструменты ADC) обычно достаточно для настройки синхронизации каталога, в некоторых ситуациях соглашения о соединениях необходимо настроить вручную. Это особенно верно для сложных сред Exchange, состоящих из нескольких сайтов. Для настройки соглашений о соединении вручную используется консоль Active Directory Connector Services (Службы Active Directory Connector).
На способ настройки соглашения о соединении влияет среда, в которой производится развертывание ADC. Например, если вам необходимо, чтобы в Exchange Server 2003 почтовые яшики для пользователей, созданных при помощи консоли Active Directory Users and Computers (Active Directory' — пользователи и компьютеры), создавались автоматически, то данные нужно будет реплицировать из Windows в Exchange. Схожим образом, если нужно, чтобы учетная запись пользователя в AD автоматически удалялась при удалении связанного с ней почтового ящика, необходимо реплицировать данные из Exchange в AD.
Приступая к созданию соглашения о соединении вручную, необходимо сначала разработать план, учитывающий цели, поставленные перед соглашением о соединении, и серверы, задействованные в соглашении. В небольших организациях у вас может быть только один сервер Exchange Server 5.5 и пара контроллеров домена. В таком случае процесс настройки достаточно прост. Однако в крупной организации планированию следует уделить намного больше внимания. Например, создавая новое соглашение о соединении, следует определить, как сервер будет управлять соглашением. Служба ADC может выполняться на любом сервере в организаиии. Также необходимо определить, будет ли репликация каталога осуществляться в одном направлении или же в обоих: из каталога AD в каталог Exchange Server и наоборот.
Помимо этого, нужно указать, будет ли данное соглашение о соединении основным соглашением для домена Windows и организации Exchange. Если это единственное соглашение о соединении, то все просто, так как оно, разумеется, будет основным для обеих сторон. Однако, если вы задаете несколько соглашений о соединении для репликации данных учетных записей и почтовых ящиков, важно выбрать в качестве основ- ног。только одно соглашение. Причина заключается в том, что основное соглашение будет иметь преимущество в случае конфликтов во время репликации. Ситуация с несколькими основными соглашениями о соединении может привести к появлению дублирующихся объектов. По умолчанию, на вкладке Advanced (Дополнительно) свойств соглашения о соединении соглашение определяется в качестве основного как для домена Windows, так и для организации Exchange. Для соглашений, которые не должны быть основными, необходимо сбросить флажки на этой вкладке.
Соглашения о соединении не ограничены пределами организации. Можно задать соглашение для репликации данных между организацией Exchange Server 5.5 и
доменом AD, состоящим из нескольких организаций. Эти настройки также задаются на вкладке Advanced (Дополнительно) свойств соглашения о соединении*
Двусторонняя репликация вызовет проблемы, если начнется сразу в обоих направлениях. Следовательно, соглашение о соединении должно определять, в каком направо лении в первую очередь должна осуществляться репликация. По умолчанию на вкладке Advanced (Дополнительно) свойств соглашения о соединении указано, что основным направлением является синхронизация данных из Exchange в AD. Изменить эту настройку можно, выбрав в раскрывающемся списке параметр From Windows (Из Windows).
Удалить соглашения о соединении можно при помощи консоли Active Directory Connector Services (Службы Active Directory Connector). В действительности9 удалять существующие соглашения о соединении необходимо еще до удаления ADC. Сделать это очень просто. Правой кнопкой мыши щелкните соглашение о соединении, которое хотите удалить, а затем в контекстном меню выберите пункт Delete (Удалить).
Репликация осуществляется на рег>глярной основе согласно расписанию, настроенному для данного соглашения о соединении. Однако иногда возникают ситуации, когда изменения необходимо реплицировать немедленно, не дожидаясь времени, заданного в расписании» но и не модифицируя само расписание. Инициировать репли- каиню вручную для соглашения о соединении можно в любой момент. Просто щелкните соглашение на консоли Active Directory Connector Services (Службы Active Directory Connector) правой кнопкой мыши и в контекстном меню выберите Replicate Now (Реплицировать сейчас).
Лабораторная работа. Подключение Exchange Server 5.5 к Active Directory
В этой лабораторной работе вы создадите несколько учетных записей пользователей AD и почтовых ящиков Exchange Server 5.5. После установки ADC и настройки еннх- ронизации каталога при помощи ADC Tools (Инструменты ADC) вы увидите, какой эффект настройка произвела на учетные записи и почтовые ящики, протестировав конфигурацию соглашения о соединении. Так вы сможете убедиться, что синхронизация действительно осуществляется.
Для выполнения упражнения вам понадобится сервер ServerOl, о котором упоминалось в начале главы. Создайте следующие учетные записи пользователей AD, а затем создайте в Exchange Server 5.5 почтовые ящики и свяжите почтовые ящики с четными записями пользователей:
Jenny Lysaker;
Bob Gage;
Nicole Holliday;
Amy Alberts;
Angela Barbariol;
Eli Bowen;
James Peters;
Karen Berge;
Jonathan Haas;
Mark Hassall;
Raymond Sam;
Sean Purcell.
Помимо этого, в AD создайте следующие группы безопасности (добавлять пользователей в группы не требуется):
M/S;
Marketing]
Sales',
Executive.
Наконец, в Exchange Server 5.5 создайте почтовый ящик с именем MIS и свяжите его с учетной записью пользователя Nicole Holliday. Создайте почтовый йшик с именем Executive и свяжите его с устной записью пользователя Mark Hassall Создайте почтовые яшики для Marketing и Sales и свяжите их с соответствующими группами безопасности AD. Создайте учетную запись пользователя Nicole Carol, но не создавайте для нее почтовый ящик.
Упражнение 1 ・ Установка ADC
Выполните ForestPrep н DomainPrep.
Коннектор ADC находится на установочном компакт-диске Exchange Server 2003 в папке ADC. В этой главе вы должны установить ADC на сервер Windows 2000, где установлен Exchange Server 5.5, На компакт-диске найдите и запустите файл \ADC\ I386\Setup.exe.
Начнет работу мастер Active Directory Connector Setup Wizard. На странице приветствия щелкните Next (Далее).
Следующая страница мастера содержит лицензионное соглашение конечного Пользователя. Внимательно прочитайте соглашение, щелкните параметр I accept the terms of the license agreement (Я принимаю условия этого лицензионного соглашения), затем щелкните Далее (Next).
На странице выбора компонентов, показанной на рис. 4-2, выберите, какие компоненты следует установить. Первым в списке перечислен компонент Microsoft Active Directory Connector Service component (Компонент службы Microsoft Active Directory Connector), который нам и нужен. Помимо этого, нам необходимо установить Microsoft Active Directory Connector Management components (Компоненты управления Microsoft Active Directory Connector) — административные утилиты» предназначенные для управления службой ADC. Выберите оба компонента и щелкните Next (Далее).
На следующей странице мастер попросит вас выбрать расположение установки. Можно оставить папку по умолчанию \Program Files'MSADC или выбрать другую папку. Выбрав расположение, щелкните Next (Далее).
Рис. 4-2. Выбор компонентов ADC
Теперь необходимо указать учетную запись службы, которую будет использовать служба ADC, В поле Account name (Имя учетной записи) по умолчанию будет подставлена учетная запись, с которой вы во шли в систему Если вы создали специальную учетную запись службы для Exchange Server, лучше использовать ее. Если необходимо» введите пароль и щелкните Next (Далее).
Программа установки скопирует необходимые файлы на сервер и настроит службу. По завершении установки щелкните Finish (Готово), Если на экране останется окно с просьбой щелкнуть Next (Далее) после завершения установки, выполните инструкции и щелкните Finish (Готово).
Упражнение 2. Подготовка Exchange Server 5.5
к синхронизации каталога
На сервере ServerOl в меню Start (Пуск) выберите Programs (Программы)» затем Microsoft Exchange и шел к ните Exchange 5.5 Administrator (Администратор Exchange 5*5).
Разверните контейнер Site (Сайт), затем контейнер Configuration (Конфигурация). Щелкните контейнер Protocols (Протоколы), затем дважды щелкните LDAP (Directory) Site Defaults (Настройки LDAP (каталога) сайта по умолчанию).
Так как ServerO 1 является контроллером домена AD, порт LDAP по умолчанию (389) уже используется, и его нельзя предоставить коннектору ADC* Необходимо изменить порт LDAP на другой, который пока что не используется. Введите номер порта LDAP 1389 и щелкните ОК.
В меню Start (Пуск) выберите Programs (Программы), затем Administrative Tools (Администрирование) и Services (Службы). Перезапустите службу Microsoft Exchange System Attendant и щелкните Yes (Да) в окне с запросом на перезагрузку всех служб, зависящих от данной. Закончив» закройте окно Services (Службы).
Упражнение 3. Настройка синхронизации каталога
при помощи утилиты ADC Tools
Для настройки ADC при помощи утилиты .ADC Tools (Инструменты ADC) сделайте следующее:
L Щелкните ссылку ADC Tools (Инструменты ADC) слева на консоли Active Directory Connector Services (Службы Active Directory Connector). Шслкните Set (Установить). Откроется окно Tool Settings (Настройки инструмента), показанное на рис. 4-3.
Рис. 4-3. Настройка параметров сервера для коннектора ADC
Необходимо сделать пару замечаний об этом этапе настройки. Во-первых, в поле Server (Сервер) задается сервер Exchange Server 55 Во-вторых, в поле Port (Порт) указывается порт LDAP для обмена данными с сервером Exchange Server 5.5. Если вы установили ADC на контроллер домена, то порт LDAP по умолчанию (389) необходимо сменить (AD использует LDAP, и это может привести к конфликтам порта). Здесь следует указать тот номер порта, на который вы сменили порт по умолчанию в предыдущем упражнении (если вы выполнили мои рекомендации, то это должен быть порт 1389), По умолчанию в этом окне указан путь к папке Му Documents (Мои Документы) пользователя, в данный момент зарегистрированного в системе, но можно указать любой другой путь.
Совет Если вы сменили порт LDAP по умолчанию на сервере Exchange Server 5.5, необходимо перезагрузить на сервере службы Microsoft Exchange, чтобы изменения вступили в силу
Щелкните Run (Запустить), и мастер начнет сбор информации о сайте или сайтах Exchange Server 5.5. Сведения о сборе данных выводятся в поле Information (Информация) в окне утилиты ADC Tools (Инструменты ADC). Вы узнаете, какме данные были найдены и какие действия необходимо предпринять для устранения неполадок, если таковые имеются.•
На шаге 3 щелкните Run (Запустить). Будет запущен мастер Resource Mailbox Wizard (Мастер почтовых ящиков ресурсов). Он поможет вам решить проблемы с учетными
записями пользователей AD, связанными с несколькими почтовыми яшиками Exchange Server 5.5. Как показано на рнс. 4-4, для каждого объекта, найденного мастером, можно выбрать основной почтовый ящик. Чтобы задать ресурс, шелкните почтовый ящик пользователя» а затем щелкните Set As Primary (Установить как основной) (или Set As Resource (Установить как ресурс), если вы настраиваете почтовый ящик ресурса). Причина этого заключается в том, что между учетными записи ми пользователей AD и почтовыми ящиками Exchange Server должны быть одно' значные взаимоотношения — такого условия не существовало в Windows NT 4 и Exchange Server 5.5. В ранних версиях почтовые ящики ресурсов, например поч- товь!访 ящик Payroll, часто связывались с учетными записями пользователей. Чтобы разрешить такую проблему, когда мастер найдет несколько почтовых ящиков, связанных с учетной записью пользователя, вам понадобится определить основной почтовый ящик для учетной записи пользователя или задать его н качестве почтового ящика ресурса. Если вы зададите его в качестве почтового ящика ресурса, то в AD будет создана новая отключенная учетная запись пользователя» которая будет связана с данным почтовым ящиком. Закончив, щелкните Next (Далее), Иначе, можно экспортировать список в файл .csv для дальнейшей обработки.
Рис. 4-4. Мастер Resource Mailbox Wizard
Теперь необходимо задать учетные данные сайта. Как показано на р”с. 4-5, вам нужно указать учетную запись с административными полномочиями и пароль для каждого сайта Exchange Server 5.5. Обратите внимание, что если вы сменили порт LDAP по умолчанию, то вам придется выбрать Specify A Server (Указать сервер), а не Automatically Discover A Server (Найти сервер автоматически). Для продолжения шелкните Next (Далее).
Рис. 4-5. Задание административных учетных данных для каждого сайта
На после口не访 странмш: мастера Resource Mailbox Wzard (Мастер почтовых ящиков ресурсов) вы увидите сводку действий, которые предпримет мастер. Щелкните Next (Далее); работа мастера будет завершена. Закончив, шелкните Finish (Готово), чтобы вернуться на страницу утилиты ADC Tools (Инструменты ADC).
Теперь необходимо проверить результаты работы мастера Resource Mailbox Wizard (Мастер почтовых ящиков ресурсов). Для выполнения этого шага щелкните Wrify (Проверить), Откроется окно проверки. По завершении проверки откроется окно с сообщением о том, что проверка проведена м проблем не выявлено. Если же неполадки будут найдены, то исправить нх можно будет, еще раз запустив Resource Mailbox Wizard (Мастер почтовых ящиков ресурсов}.
После завершения проверки щелкните Run (Запустить) на шаге 4, чтобы запустить Connection Agreement Wizard (Мастер соглашений о соединении). Этот мастер на основе информации, собранной на шаге 1, подбирает рекомендуемые настройки для соглашения о соединении между организацией Exchange Server 5.5 и AD.
После страницы приветствия первым шагом настройки будет выбор пути Default Windows Destination (Размещение в Windows по умолчанию), как показано на рис. 4-6. Это контейнер в AD, выбранный в качестве месторасположения по умолчанию для новых объектов, реплицируемых в каталог Exchange Server 5.5. Обычно удобно использовать встроенный контейнер Users (Пользователи), но, в зависимости от вашей структуры подразделений, можно выбрать другой контейнер. Выберите контейнер и щелкните Next (Далее).
Рис. 4-6. Настройка размещения в Windows по умолчаниюРис. 4-6. Настройка размещения в Windows по умолчанию
Рис. 4-6. Настройка размещения в Windows по умолчанию
Рис. 4-6. Настройка размещения в Windows по умолчанию
Следующая страница мастера называется Site Connections (Соединения сайта) и показана на рис. 4-7* Выберите, хотите ли вы настроить соглашение о двустороннем или одностороннем соединении между AD и Exchange Server 5,5, Соглашение о двустороннем соединении описывает репликацию в обоих направлениях, то есть изменения, сделанные в AD, реплицируются в каталог Exchange и наоборот. Сопла- шенне об одностороннем соединении можно установить в любом направлении, как того требует конфигурация системы. По умолчанию создается соглашение о двустороннем соединении, и если вы не хотите ничего менять, просто щелкните Next (Далее).
Site ConnectionsDesignate whether the site should be connected to Active Diectory by a two-way or gaway connection.Site ConnectionsDesignate whether the site should be connected to Active Diectory by a two-way or gaway connection.
Site Connections
Designate whether the site should be connected to Active Diectory by a two-way or gaway connection.
Site Connections
Designate whether the site should be connected to Active Diectory by a two-way or gaway connection.
Resmmended Exchange 55 Ле connections are Med below, g «he агга^к to move stes to the appropriate columns.
Two-wey connectons:Oie-wey connectioru：
已『■Jsergjltwarein&com，UTWA₽EJb&]已『■Jsergjltwarein&com，UTWA₽EJb&]2J2J
已『■Jsergjltwarein&com，UTWA₽EJb&]
已『■Jsergjltwarein&com，UTWA₽EJb&]
2J
2J
Рис. 4-7. Настройка соглашений о соединении
На странице Site Credentials (Учетные данные сайта) необходимо указать учетную запись с правами администратора и пароль для каждого сайта Exchange Server 5.5. Для этого щелкните первый сайт Exchange Server 5,5, затем щелкните Set Credentials (Ввести учетные данные). Можно ввести имя административной учетной записи или найти его в списке. Указав учетную запись, щелкните ОК, чтобы вернуться на страницу Site Credentials (Учетные данные сайта). Повторите процесс для каждого сайта Exchange Server 5.5 и щелкните Next (Далее) для продолжения.
L Далее вы попадете на страницу мастера Domain Credentials (Учетные данные домена). Тогда как учетные данные сайта подтверждают вашу учетную запись в каталоге Exchange Servet 5.5, учетные данные домена подтверждают информацию об учетной записи в AD. Щелкните Set Credentials (Ввести учетные данные) и введите имя пользователя и пароль для учетной записи, имеющие полномочия администратора домена. Щелкните ОК, затем щелкните Next (Далее) для продолжения.
Мастер попросит вас выбрать, какие соглашения о соединении необходимо создать. Как показано на рис. 4-8, по умолчанию создается одно соглашение для пользователей и почтовых ящиков и одно для общих папок. Однако по желанию можно выбрать только одно из этих соглашений» Выбрав нужные соглашения, щелкните Next (Далее).
Рис. 4-8. Настройка соглашений о соединении
В окне сводки, схожем с окном на рмс* 4-9, перечислены действия, которые выполнит мастер. Настройка соглашений о соединении начнется, когда вы щелкнете Next (Далее). По окончании процесса щелкните Finish (Готово), чтобы вернуться на страницу утилиты ADC Tools (Инструменты ADC)*
Рис. 4-9. Сводка по установке соглашений о соединении
Наконец, проверьте результаты работы ADC Tools (Инструменты ADC), шелкнув на шаге 4 ^rify (Проверить) рядом с пунктом Verify The Results Of ADC Tools (Проверить результаты работы Инструментов ADC). После завершения проверки в поле Information (Информаций) вы увидите следующую информацию:
ADC Tools are complete and Active Directory Connector is successfully configured. Return to the Deployment Tools to continue your Exchange deployment.
Finished verifying the results of the ADC Tools,
Упражнение 4. Проверка синхронизации каталога
Запустите Exchange Administrator (Администратор Exchange), если эта утилита еще не открыта.
Найдите контейнер Recipients (Получатели) и щелкните его.
Щелкните File (Файл), затем New Mailbox (Создать почтовый ящик).
Создайте почтовый яшик для пользователя Chris Meyer, при этом необходимо выбрать создание новой учетной записи Windows NT*
Щелкните учетную запись пользователя Chris, затем щелкните ОК, когда Exchange запросит создание учетной записи без пароля.
Щелкните ОК для завершения создания почтового ящика.
Откройте консоль Active Directory Users and Computers (Aciivc Directory — пользователи и компьютеры) и найдите контейнер Users (Полыователи).
Вы должны увидеть учетную запись пользователя Chris Meyer, подтверждающую работоспособность коннектора. Закройте программу.
Упражнение 5. Создание соглашения о соединении вручную
Правой кнопкой мыши щелкните контейнер Active Directory Connector (имя_сервера) и подведите указатель мыши к пункту New (Создать). Вы увидите, что, как и при помощи мастера ADC Tools Wizard (Инструменты ADC), можно настроить соглашение о соединении Recipient Connection Agreement (Соглашение о соединении для пользователей) или Public Folders Connection Agreement (Соглашение о соединении для общих папок). Щелкните Recipient Connection Agreement (Соглашение о соединении для пользователей).
Сначала выберите для соглашения о соединении имя. Оно должно достаточно хорошо описывать соглашение, так как в сложных организациях может быть несколько ADC со многими соглашениями о соединении. Направление репликации указывает направление потока данных. Если у вас в организаиии Exchange несколько ADC, можно выбрать, какой сервер будет управлять соединением. Заполнив все поля, перейдите на вкладку Connections (Соединения)» показанную на рис. 4-10.
Рис. 4-10. Вкладка Connections
На вкладке Connections (Соединения) заполните оба раздела, если хотите настроить двустороннюю репликацию. Можно также выбрать метод аутентификации. Обратите внимание, что на этой вкладке в разделе Exchange Server Information (Информаккя о сервере Exchange) также можно указать порт. Он используется для обмена данными по протоколу LDAP между ADC и каталогом Exchange Server 5.5. Если необходимо указать другой порт, а не порт по умолчанию (389), например в ситуации, когда ADC установлен на контроллер домена, то не забудьте указать тот же номер порта в каталоге Exchange Server 5.5.
На вкладке Schedule (Расписание), показанной на рис. 4-11, можно настроить расписание репликации. В зависимости от размера сети и схемы передачи данных, вам может понадобиться изменить расписание по умолчанию. В целом, не следует выбирать параметр Always (Всегда), если только вы не настраиваете расписание для небольшой сети, в тестовой среде или в сети, где изменения вносятся достаточно редко.
Рис. 4-11. Расписание сомашення о соединении
На рис. 4-12 показана вкладка From Exchange (Из Exchange), на которой следует указать, какие данные будут реплицироваться мз Exchange Server 5.5 в Windows (AD). Если щелкнуть Add (Добавить), откроется страница с контейнером Recipients (Получатели) и другими контейнерами, которые вы могли создать самостоятельно. Выберите, какую информацию необходимо реплицировать, и щелкните ОК, Если вы настраиваете соглашение об одностороннем соединении из AD в Exchange, то на этой странице ничего менять не нужно. На странице From Windows (Из Windows), показанной на рис. 4-13, можно описать данные, которые будут реплицироваться из AD в Exchange.
Рис* 4-12. Настройка репликации нз Exchange в Active Directory
Рнс, 4-13* Настройка репликации из Active Directory в Exchange
Примечание Вы можете почувствовать, насколько шире возможности настройки соглашения о соединении вручную по сравнению с использованием мастера ADC Tools Wizard (Инструменты ADC). Здесь можно указать несколько подразделений AD, данные из которых будут участвовать в репликации, тогда как, используя ADC Tools (Инструменты ADC), можно задать только одно подразделение.
На рис. 4-14 показана вкладка Deletion (Удаление) диалогового окна Properties (Свойства) с настройками по умолчанию. Здесь можно указать способ обработки удаленных элементов.
Рис. 4-14* Настройка репликации удаленных элементов
Последняя вкладка, вкладка Advanced (Дополнительно), показана на рис, 4-15. Здесь можно настроить несколько параметров. Первый набор параметров определяет настройки страниц для репликации из Windows и Exchange. Страницы объединяют реплицируемые объекты, что позволяет улучшить производительность репликации. Если увеличить значение по умолчанию, равное 20, то за один раз будет реплицироваться больше объектов, и в результате количество запросов на репликацию уменьшится. Однако увеличение этого параметра также влечет увеличение объема используемой памяти. Помимо этого, можно определить, будет ли соглашение о соединении ограничено рамками сайта или же распространяться на несколько сайтов. По умолчанию соглашение о соединении задает репликацию между доменом AD и организацией Exchange Server в пределах одного домена. Однако соглашение можно настроить и так, чтобы оно работало в пределах нескольких организацией, и репликация производилась между организацией Exchange Server 5.5 и доменом AD, содержащим другую организацию Exchange Server 55
Прочие параметры позволяют определить, будет ли данное соглашение о соединении основным соглашением по отношению к домену Windows и организации Exchange. Основное соглашение о соединении может создавать новые объекты в своем каталоге, но если сбросить этот флажок, то реплицироваться будут только существующие объекты. Если у вас несколько соглашений。соединении, то только одно из них можно сделать осноэным, в противном случае возможен вариант, когда при репликации объекты будут дублироваться. Также на данной вкладке есть параметр, определяющий, какое действие следует предпринять при репликации почтовых ящиков, для которых не существует соответствующих учетных записей пользователей AD. Действие по умолчанию — создавать новую отключенную учетную запись пользователя, но можно выбрать создание новой активной учетной записи пользователя (при создании пароль не назначается) или создание контакта в AD.
Рис. 4-15. Вкладка Advanced
Резюме
Коннектор ADC используется для обеспечения синхронизации каталога между AD и Exchange Server 5.5.
Для установки ADC и на Windows 2000 Server, и на Exchange Server 5.5 необходимо установить пакет обновлений SP3 или более поздний.
Учетная запись пользователя, под которой устанавливается ADC, должна быть чле* ном группы Enterprise Admins (Администраторы предприятия), а также групп Schema Admins (Администраторы схемы) и Domain Admins (Администраторы домена).
В состав утилиты АйС Tools (Инструменты ADC) входят несколько мастеров, помогающих настроить синхронизацию каталога.
Можно вручную настроить расширенные соглашения о соединении при помоши консоли управления Active Directory Connector Services (Службы Active Directory Connector),
Занятие 2. Установка Exchange Server 2003 в существующей организации
Exchange Server 5.5
После того как вы настроили синхронизацию каталога между AD и сайтом Exchange Server 5.5, начинается следующая фаза развертывания Exchange Server 2003. Развернуть Exchange Server 2003 можно двумя способами: обновить один или несколько серверов Exchange Server 5.5 до Exchange Server 2003 (подробнее об этом в занятии I главы 5 «Переход с Microsoft Exchange Server и других почтовых систем») или установить Exchange Server 2003 как дополнительный сервер в среде с существующими серверами Exchange Server 5.5 — это тема текущего занятия.
Изучив материал этого занятия, вы сможете:
установить Exchange Server 2003 в существующей организации Exchange Server 5Л;
настроить Site Replication Service (Служба репликации сайтов).
Продолжительность занятия — около 120 минут.
Установка Exchange Server 2003 в организации
Exchange Server 5.5
Установка Exchange Server 2003 в существующей организации Exchange Server 5.5 — это относительно простая задача, требующая предварительной установки ADC и синхронизации AD с каталогом Exchange Server 5.5. Помимо этого, на установочном диске Exchange Server 2003 вы найдете несколько утилит развертывания, еще больше упрощающих установку Exchange Server 2003. Одна из таких утилит ——Exchange Server Deployment Tools (Инструменты развертывания Exchange Server), предоставляющая несколько параметров конфигурации для установки Exchange Server 2003 в существующей среде. Программа автозапуска автоматически открывает страницу приветствия после того, как диск вставлен в привод* На этой странице можно запустить утилиту Exchange Server Deployment Tools (Инструменты развертывания Exchange Server), которая поможет вам установить Exchange Server 2003 несколькими способами, включая установку Exchange Server 2003 в существующей организации Exchange Server 5.5.
Примечание Exchange Server 5.5 нс работает на Windows Server 2003, но в домене AD могут одновременно существовать серверы Windows 2000 Server н Windows Server 2003. Можно установить Exchange Server 2003 в любой операционной системе, помня только, что для установки Exchange Server 2003 на сервер Windows 2000 Server необходимо установить пакет обновлений SP3 или более поздний.
Exchange Server Deployment Tools (Инструменты развертывания Exchange Server)—— это набор утилит, которые можно запускать по отдельности или выполнять пошагово, по принципу работы мастера. Рекомендуется последний способ, если только у вас нет необходимости выполнить какие-либо >тилиты отдельно. В процессе настройки Exchange Server 2003 некоторые из этих утилит выполняются автоматически, и разные типы установки требуют запуска различных утилит. Например, если вы запускаете программу установки, чтобы присоединить новый сервер к существующей организации, выполняется только некоторый поднабор утилит. Набор Exchange Server Deployment Tools (Инструменты развертывания Exchange Server) включает следующие утилиты:
DSConfigSum Сообщает общее количество сайтов Exchange Server 5.5 и обшес количество серверов в каждом сайте;
DSObjectSum Сообщает обшее каличество общих папок, списков распространения, списков распространения со скрытым членством и объектов контактов;
UserCount Сообщает общее количество пользователей в каждом сайте Exchange Server 5,5 и общее количество пользователей в каталоге Exchange Server 5.5;
VerCheck Определяет, есть ли в организации версии сервера, необходимые для обновления до Exchange Server 2003;
OrgCheck Выполняет следующие задачи:
проверяет расширения схемы, созданные ForestРгер\
проверяет, что надлежащие доменные группы существуют и населены;
проверяет, что назначены правильные дескрипторы безопасности;
проверяет, что существует конфигурационный контейнер Exchange;
проверяет, что сервер глобального каталога доступен в домене, где выполнялась утилита DomainPrep\
口 проверяет, что сервер глобального каталога доступен в том же сайте, где находится сервер Exchange Server 2003, или сайте по соседству с сайтом сервера Exchange Server 2003;
PolCheck Проверяет, что все контроллеры домена в локальном домене имеют права на управление журналами аудита и безопасности для группы Exchange Enterprise Servers (Серверы предприятия Exchange) и выдает список всех контроллеров домена, у которых нет таких полномочий;
OrgNameCheck Производит поиск нмен организаций и сайтов Exchange Server 5.5, не уд овлетворяюших стандарту RFC 2821ч который утверждает, что:
максимальная длина имени составляет 64 символа, без ведущих или замыкающих пробелов;
выводимое имя LDAP не должно содержать следующие символы: , = + <>#、《
и выводимое имя (атрибут admin-display-name) не должно содержать следующие символы: - '@#$%А&*()_ + = Ш)|\:;«'<1>.?/
PuhFoMChcck При помощи регулировщика согласованности Directory Service/ Information Store (DS/IS* Служба катаяога/Банк сообщений) Exchange Server 5.5 проверяет, что каталог и банк сообщений синхронизированы. Несогласованность между каталогом и банком сообщений возникает, если в базе данных каталога существует запись для общей папки, но соответствующсй записи в банке сообщений нет, и наоборот;
ADCConfigCheck Производя поиск в AD с использованием атрибута ADCGlobalNames объекта Exchange Server 5.5, проверяет, что объекты конфигурации каталога Exchange Server 5,5 были правильно реплицированы из каталога Exchange Server 5.5 в AD* ADCConfigChеск перечисляет все объекты конфигурации Exchange Server 5.5, отсутствующие в AD;
ADCObjectChcck Проверяет, что объекты каталога Exchange Server 5.5, не являющиеся объектами пользователей или конфигурации, правильно реплицированы в AD. Эта утилита подтверждает согласованность общих папок, списков распространения и объектов контактов мевду каталогом Exchange Server 5.5 и AD. Если общая папка не реплицирована в AD, утилита рекомендует создать соглашение о соединении для обших папок. ADCObjectCheck также рекомендует создавать пользовательские соглашения о соединении для получателей н списков распространения;
ADCUserCheck Определяет размещение учетных записей пользователей и почтовых яши ко в. На основе этой информации рекомендует создать те или иные соглашения
о соединении. ADCUserCheck также использует процесс поиска в ADC для сравнения объектов пользователей в каталоге Exchange Server 5.5 с объектами в глобальном каталоге AD и выдает список пользователей из каталога Exchange Server 5.5, отсутствующих BAD;
ADUserScan Проверяет, что пользователи с почтовыми ящиками в AD реплицированы в каталог Exchange Server 5.5. ADUserScan ищет объекты в AD по атрибутам largetaddress, cmailaddrcss, proxyaddress, ms Exch HomeServerName и legacyExchage DN. После этого, используя старое различающееся имя (distinguished name, DN) объекта, она производит поиск соответстаующих объектов по каталогу Exchange Server 5.5. Если объекты не были реплицированы из AD в каталог Exchange Server 5.5, ADUserScan рекомендует создать соглашения о соединении;
ConfigDSlnteg Проверяет объекты конфигурации, выявляя проблемы в AD, появившиеся после запуска ADC;
PrivFoldCheck Использует регулировщик согласованности Exchange Server 5.5 DS/IS для проверки, что каталог и банк сообщений синхронизированы. Несогласованность между каталогом и банком сообщений возникает, если в базе данных каталога есть запись для почтового ящика, но соответствующей записи в банке сообщений нет, или наоборот. PrivFoldCheck запускает регулировщик согласованности DS/IS для выполнения следующих задач:
синхронизация с каталогом и создание новых записей каталога для почтовых ящиков, для которых не существует соответствующей записи в каталоге. PrivFoldCheck создает запись в каталоге, если запись почтового я шика существует в банке сообщений, но такой записи нет в каталоге. PrivFoldCheck не удаляет записи почтовых ящиков из каталога;
удаление неизвестных учетных записей пользователей. PrivFaldCheck удаляет недействительных пользователей из списка разрешений закрытой папки банка сообщений;
RecipientDSInteg Проверяет все объекты получателей [User (Пользователь), Group (Группа)» Contact (Контакт) и Public Folder (Общая папка)] в AD. Эти проверки предназначены для выявления проблем в AD, появившихся после запуска ADC.
Позже, запустив графический интерфейс утилиты Exchange Server Deployment Tools (Инструменты развертывания Exchange Server), вы увидите, какие утилиты выполняются на каких стадиях процесса. Эти сведения выводятся под столбцом Reference (Ссылки).
Утилита Exchange Server Deployment Tools (Инструменты развертывания Exchange Server) запускается командой exdeploy, ехе. Щелкнув ссылку на первом экране программ мы установки Exchange Server 2003, можно запустить графическую версию утилиты.
Совет Помимо этого, программу exdeploy.exe можно запустить с различными ключами из командной строки; этот вариант удобно использовать при написании сценариев для автоматизации задач. Запустив \Support\Exdeploy\Exdeploy. ехе из командной строки, вы увидите экран справки, как на рис. 4-16.
-CunwiiAnd Prompt
DtSaupvortV^xDeploy^xdeploy，
eKdaplotf.BM* t/£l<Exehait4« 5*5 svWbfX：t>art J t?l L/yct<Gitiba 1 CocaIoet сшч/«г>|? 1 /с fxahtp；<Tooll> [/KJiip:<Iuol2>l ... ) Incite J r/p:<U« Fib Pn《b>J
exdnploy .«xe C/tt<EKclvtnt|e 5.5 tervor>lipovt J I? J [/це :<G：ub<i 1 Coining ■*»er>171 /t：<Tooll> C/ti<Toi>12>J ... 1 (/vital Г，雜《！>*)Fib P*£h>】
artdcpluv.cxa [/h!Z? J
/Б：CExclu*nga 5.5 aerverX-jMirt)I? Ila* (ЕксЬлпче 5.5 мнгин1> 4* (ягчвс curwet-. 1 ♦ s рас if led, port is tire 1CP phrt uaed for LDAP cannuct Ian» befflult 晔 *4 is 3H”|
? пение you will be pronptad fur “ naw nf *n ЕхсЬялдв 5.5 аотзаг”
Thia is ■ fequirt*il рлгллмтСа^ for tnftlw “wit unn nn Fwchnn。，Б-5 utif r.「 zyc ：<Cloh<il Catdlay se«-virr>t? Un。<G1o1hi1 С«г@1ор «Ptvor> at> tonict server.
? »«f«na SHm will he prompt ad fuir ® hb»w uf « Clubal СлЪа1пц uomirr*
IhAu I# «1 upt£nn«l dm""i«!C0№* if пае tpa&if i«<|, vwdeploy will diecevor 4 Glubal Cutaletj» XpsCLocf File Pdth> Redii-cctv prvvraSG output t«《(ли Fite Pulh>.
，&* /?叫叩】ay tlil& Ira Ip Ш.
/с (Canpnrhvn t: iu« > Run «11 ton la, Opt io^ally, ubc with г*1с，р: to ckitf ¥ pec if ied
/okipiCToe 11> [/ск1р：<Тоо12>1 *-* ) Shlpa сшсif ioil tuutv or tvul groups.
/t ：<Too It > (Zt ：<T&u 12>1 . .. ] Rit»s ell Gooclf led too It ur tot* I ^t-aup$.
/口狂・ Huns PrivFoldChcch on all verve re in the е<им в1Са аи СЕисЬишл^ 5.5 torvor
Valid ttmld •『*:
bSConf iySun Hunt Exchango 5*5 Pirwctory Confiriuratien Sunn«t*v.
PS Object Sum Runt I'xchanyu &・5 Dlrcutury Object Sunnary.
UenrCpunt Hunv llKcfiango S + £ Direutairy Uier Gouiit.
UerChech Hunw Server Uaru，。" Окик.
ЙЬСУс«<гС11с«;к Hunv ЙИС Ucer HvplivaC ion Check.
• H1 UiiHull^tch Hunu HIBSHohjitch.
■ 0гмКапоСИсс1ч H«n= OryaniEatiuM “”d SlC« N»mc« Ciwck.
・ ADCbiiJiectOwh Кипи RM! 0h,)eu4 Kuuilcat(vh (：hei;hr
■ ADU#«r$<；4h Hu*y Active friwcto^V 口口"旷 Repllcutiofl *enn*
PolCh«rch Hu“q Ft, livy Змнк.
OrirthiecJt Runs Organiant ian Rssdinese Clrack.
puhpaIdChcck Runa Puhlic FuJJni*Chech.
ADCCont lutihock Hun в ППС Conf £<jur«t ion Rcnllcoition Chock.
Cw”F %】，$lnt，m Runs Exchanpr Server 2W03 СчпГigumtiun Object ClwcX.
Hrc ipientDSIntey Runs Exchange Sbi-urt 2ЙИЗ Itacipivnt Object Chech.
Fi-iuFnldChack Нипв Priuate Folder DS/16 Check.
Orglteport Runs Exlvtingr Ot*D Report.
<!CU«i*Clwck runa Global Cat«l»B Sorwer Uersion Chock.
『“lid Ccinl пгоирз "В：
DsScop^Scun *м Btfulualont to DSCcinf isSum* ftSObjeceSun. (ЛмгСоипС. UerC I heck. OryRrtport, aid GCUBrChccH.
UoerPeep in «<iuivaleht to ADCUsei'Clwek» NIDSNolUtch, UorCheck. and »e rm Check.
I ■ ADCChecli In HquW«l&nS to ADCUsttrChetzk, ADCObJ#ctOwck„ *nd fiDU*erSc#»n
OrtjProDCtwck la equivalent c。OrgChockv PoIChecJk, and FubFeldChecit.
&iSe uppoM s£xBvp l»y>
Рис. 4-16< Утилита командной строки ExDeploy
Можно запустить программу установки напрямую, как вы делали в главе 2 玄Планн- рование инфр аструктутэы Microsoft Exchange Server 2003», не используя утилиту Exchange Server Deployment Tools (Инструменты развертывания Exchange Server). В простой среде с одним сайтом и одним или двумя серверами установка Exchange Server 2003 представляет собой несложную задачу. Однако утилиты развертывания помогают проверить соответствие требованиям н пошагово проводят через процесс установки, чтобы вы не пропустили важные мелочи.
Управление серверами в смешанном режиме
Если ваша организация Exchange работает в смешанном режиме и содержит серверы Exchange Server 5.5 и Exchange Server 2003, администрирование серверов обоих тнпов производится раздельно. Это означает, что для управления серверами Exchange Server 5.5 используется утилита Exchange Administrator (Администратор Exchange), а для управления серверами Exchange Server 2003 ——утилита Exchange System Manager (Диспетчер системы Exchange). Хотя можно просмотреть свойства серверов Exchange Server 5.5 через Exchange System Manager (Диспетчер системы Exchange), выполнить какие-либо задачи по настройке невозможно, i !пограмма Exchange Administrator (Администратор Exchange) перечисляет серверы Exchange Server 2003 |это возможно благодаря службе Site Replication Service (Служба реплнкацг : сайтов)], но управлять серверами Exchange Server 2003 из этой программы нельзя. Пс/ннна такой несовместимости между версиями относится к серьезным различиям в архитектуре, лежащей в основе продуктов.
Однако благодаря сннкроннзаинм, которую обеспечивает ADC для управления почтовомн ящиками пользователей на серверах обоих типов можно использовать консоль Active Directory Users and Computers (Active Directory — пользователи и компьютеры). Атрибуты Exchange почтовых ящиков пользователей будут описывать, на каком типе сервера хранится сам ящик. На рис. 4-17 показана вкладка Exchange Features (Возможности Exchange) для пользователя, сведения о котором хранятся на сервере Exchange Server 5.5 в организации Litwareinc, а на рис. 4-18 та же вкладка показана для пользователя, сведения о котором хранятся в той же организации на сервере Exchange Server 2003.
Рис. 4-17» Ввсладка Exchange Features для почтового ящика Exchange Server 5.5
МеЗСИ I 04 [ Envigf I Suwa ( Rench*caiiftnl
T wmrtal Seivice* PralM
ЕисЬапде Gtnwal
Ge& I Mins I AftCwni I F>cWe | [皿ош | 8sw«ton
E-tntfiAdiHwrt
ЕмсИапр* FmIuw
LHchanoeAdvanud
_ [53
EnabhdЕчСМEodfcMEnabhdЕчСМEodfcM
Enabhd
ЕчСМ
EodfcM
Enabhd
ЕчСМ
EodfcM
j j BUkuk МоЬй Деев»
&' Uuf Inti4M Synchwiieebon j 巾 Up-lo-dait Мв^еМкмн
Z 产roiocofc
ЕгмЬй4- mho рпХко! dafadu £ мЬМ. uinfl *51 detfldti ЕгшЫМ uwiq ivatocd defdUH
浦卜呐韓/一 p加杜
•XE-——
SeitKl n laaiue Ь $»e •* d№fipiivi
tmL ItmL IНй?Нй?
tmL I
tmL I
Нй?
Нй?
Рис. 4-18. Вкладка Exchange Features дл* почтового ящика Exchange Server 2003
Если вы хотите предоставить функциональность Exchange Server 2003 пользователям, почтовые ящики которых до сих пор хранятся на сервере Exchange Server 5.5, един-
5 Зак, 450
стненнос, что вы можете сделать, — это переместить почтовые ящики с сервера Exchange Server 5.5 на сервер Exchange Server 2003,
Служба Site Replication Service
Служба Site Replication Service (Служба репликации сайтов) автоматически устанавливается и настраивается во время установки Exchange Server 2003. Эта служба работает только в среде Exchange в смешанном режиме, где серверы Exchange Server 5.5 существуют совместно с серверами Exchange 2000 Server м/н』н Exchange Server 2003. Служба Site Replication Service (Служба репликации сайтов) обеспечивает репликацию каталогов почты между адм инистративными группами Exchange Server 2003 и сайтами Exchange Server 5.5. Конкретнее, служба Site Replication Service (Служба репликации сайтов) используется для интеграции Exchange Server 2003 в сайт Exchange Server 5.5 за счет представления сервера Exchange Server 2003, работающего в AD, другим сервером Exchange Server 5.5 в виде службы каталогов Exchange Server 5.5. Для обеспечения полной интеграции эта схема должна работать совместно с ADC.
Служба Site Replication Service (Служба репликации сайтов) автоматически настраивается во время установки первого сервера Exchange Server 2003 в существующем сайте Exchange Server 5.5. На каждом сервере Exchange Server 2003 может работать только одна служба Site Replication Service (Служба репликации сайтов), хотя для обеспечения отказоус то йч и в ост и в организации можно установить несколько экземпляров службы. Невозможно удалить службу Site Replication Service (Служба репликации сайтов), пока в организации есть хотя бы один сервер Exchange Server 5.5.
Возможны ситуации, когда службу Site Replication Service (Служба репликации сайтов) понадобится перенести на другой сервер Exchange Server 2003 в организации. Exchange Server 2003 не поддерживает перемещение службы напрямую, но эту задачу можно выполнить, установив и настроив службу Site Replication Service (Служба репликации сайтов) на другом сервере Exchange Server 2003, а затем удалив оригинал.
Чтобы создать службу Site Replication Service (Служба репликации сайтов) на другом сервере Exchange Server 2003, сделайте следующее:
]. Откройте программу Exchange System Manager (Диспетчер системы Exchange) и разверните контейнер Tools (Инструменты).
Правой кнопкой мыши щелкните Site Replication Services (Службы репликации сайтов), затем New (Создать), затем щелкните Site Replication Service (Служба репликации сайтов).
В сообщение с запросом на подтверждение действий щелкните Yes (Да), а затем введите имя пользователя и пароль нужной учетной записи службы Exchange, После этого Exchange Server 2003 создаст службу Site Replication Service (Служба репликации сайтов) и автоматически создаст соглашение о соединении для конфигурации.
Лабораторная работа. Установка
Exchange Server 2003 в существующей организации Existing Exchange Server 5.5
В этой лабораторной работе вы установите Exchange Server 2003 на сервер Serveг02 в домене litwareinc.com. На этом сервере должна быть установлена ОС Windows Server 2003, и по желанию его можно настроить в качестве контроллера домена. Для завершения процесса сервер ServerO 1 должен быть включен и подключен к сети*
Упражнение 1. Установка Exchange Server 2003 в существующей организации Existing Exchange Server 5.5
L Выполните задачи по подготовке к установке. Для этого установите на сервер Serveг02 ASRNE工 Простой протокол пересылки почты (Simple Mail Transport Protocol, SMTP), Сетевой протокол пересылки новостей (Network News Transfer Protocol, NNTP) н службу 3e6 (W^rld Wide Web, WWW). Подробнее об этом — в занятии I главы 2.
Щелкните ссылку Exchange Deployment Tools (Инструменты развертывания Exchange); откроется диалоговое окно, показанное на рис. 4-19,
Рис. 4-19. Графический интерфейс утилиты Exchange Server Deployment Tools
Здесь вы увидите текущее состояние среды. Щелкните соответствующую ссылку, В данном случае нам подходит второй вариант, так как вы уже подключили Exchange Server 5,5 к Active Directory. Щелкните ссылку Coexistence with Mixed Mode Exchange 2000 and Exchange Server 5.5 (Совместная работа c Exchange 2000 и Exchange Server 5.5 в смешанном режиме)* Следующее диалоговое окно утилиты Exchange Server Deployment Tools (Инструменты развертывания Exchange Server), показанное на рис. 4-20, описывает, какие последствия влечет совместное существование серверов разных типов. Перед тем как начинать установку Exchange Server 2003, необходимо обновить все существующие ADC до версии Exchange Server 2003. В данном случае,
нам это делать не нужно, так как для подключения AD к Exchange Server 5.5 уже использовалась версия ADC Exchange Server 2003, но в реальной среде, если в сети присутствуют серверы Exchange Server 5.5 и Exchange 2000 Server, вам придется в первую очередь позаботиться об обновлении. Выберите вариант Install Or Upgrade The First Exchange Server (Установить или обновить первый Exchange Server).
一三：「」二经二」l__izr_I:二――二—…:忘.乳■
Coexistence wtth Mixed Mode Exchange 2000 and Exchange 5.5
Ta upgr*d・ an ЕхсЬвлд'* envirgivnant in which Exchange 2000 and Exchtnga 5Л alreddy cstxjtt, y&u EU«t upgrMe емЬ tniUnce of Achv・ Girectorr Conn+ctar (ADC) to the fхсЯ*пае Server 2003'wtrjion, Tp “nfj th«< rour connection aareefnents are set up provedY, use the *DC To@l, ih*t are fut»pli«41 b, the Exchange 扌003 v«r¥it>n tit ADC.
▼ Impohtant TM AOC Tool* prowtde rs«mnnrHi*tionf for connecbon eQreBment» bated w* your dirsetor，«nfiqurgun, To prevent directory г«р1мыйюп problem,,, it 峠 ttraftg^ recomm^rwltd th*t yay tcopt th*st г«с<нпгпапс1аЪоп*.
After row h*v* upgraded ail versions 0f Nctiv* OimctorT C onntetor, t@u can upgrade rour E*S0nge ZOOG «ervert to Exchange Server 200).
Рок * 尿£ @, prvriquniitef^ tee Fx£h*fiae.E5CoBxittenei? PnyreQuisrtev.
Тй b•中n, »l・& one of the following opbont,
L UntirHde AtUve Direct。* r<mn£±tur Server> You mutt UM，«ft all inftAnetn of Active Diricfory Connscw М«л.д《г bflfftre you upgrade other Fxeft±cqe lOOG $ureN* Rtp»qt tfnf cwtion fo* 44ch tvrver running Acbv» DirectorT Conwcttxr,
Z. 师眩酬一虹一他叩上业 the flnrt 川匸卜叫也土工曰仃 M/r f ou h*v. upflr.d,d *N inttancas qf Acbve Directory Connector, ,du из" install ihe hrE Exchange 2003 server ur upgrade the firn Exchange 2000 server to fich*ng« J0Q3.
Рис. 4-20. Подготовка к совместному существованию разных серверов
В следующем диалоговом окне утилиты Exchange Server Deployment Tools (Инструменты развертывания Exchange Server), показанном на рис. 4-21, вы увидите перечень условий, которые следует проверить перед установкой Exchange Server 2003. Большинство перечисленных шагов вам уже знакомы, так как они повторяют этапы установки Exchange Server 2003, которые вы выполняли в главе 2, Выполнив все действия из списка, щелкните ссылку Run Setup Now (Запустить установку немедленно) внизу страницы. Программа установки запустит тот вариант установки, из которого вы запустили программу для входа в утилиту Exchange Server Deployment Tools (Инструменты развертывания Exchange Server).
Откроется мастер Microsoft Exchange Installation Wizard (Мастер установки Microsoft Exchange). Процесс установки аналогичен процессам, которые вы уже выполняли ранее, хотя при выборе параметров установки Exchange Server 2003 в существующей организации Exchange Server 5.5 существует несколько отличий. Щелкните Next (Далее) для начала установки.
Щелкните I Agree (Я принимаю), затем щелкните Next (Далее).
Щелкните Custom Installation (Выборочная установка) и установите компонент Microsoft Exchange Server 5.5 Administrator (Администратор Microsoft Exchange Server 5.5). Эта утилита упростит администрирование за счет того, что вы сможете управлять серверами Exchange Server 5,5 н Exchange Server 2003 из одной системы.
InstaH or Upgrade the First Exchange Server
StepaK*fer№tiCB
厂 1, If v ou «rv uf>grad>r(; a s*rv・r rwnino WMdtjw，2(100, install th» Latest Wmdo^i Z000 srvtcs p«dc, П Gperytinti you ・f inftaHino ・ n・w s«m»r, Inrtell W»n<tows ГПиО Server 5F1 a，I Met, Wind&wi 2D00 Adv«nted §y—№ 姪.d 5 sr ter SP3 pr later, ar WKdo*，5«гр*г 2003.」*v±
口it £由и* Rs—m士而
厂 i. Venfr that Ом» NNTf, SMTpf *nd Wurld *id« Web services ше iriftalled gd ebabied on the мгувг, Enablinti
W 痴0
厂 3. tf fou are ueqradmq the *&rva『 from Exchange 2000, remove the f^lowmQ шпросепН 4 thR? wore prqviaufly in，te"・d on the serMflf；
Microsoft Mob^e tMqrmaooc Server Ex^hanq* Event Scnh (ЕксЬап^н 2003 contain； the Ex change №>b，悔 browse ccnwonentj
liHtant H*£，aging Servar, that* «nd K*‘ M^nagamont Server, Lotus ^M^l camwcior, *nd MS Mail «nnKtor. CThtM compenenti *ra notsufinlied nn Exchange ZQQ3. If you w»h U r*t・in 5，$・ carvicet in four orgflniz«tion4 yau should no! in»tdl &жchange MGS on tetven running 班m@ component*.)
「4. Inrtall №e Wmdo*« ZQOO 5P3 ar Window，Z0Q3 v«rn«h M №• Window* Supfwrt T«qIs from the
Wu叩art falder on the Wiridowi comp^U &c- Be sure tn intfaHI the vnrt№h th銀;E・h*a me operating systiun u< №a fetver. DCChaQ (Ойгпдт Ca№ot!er Deagnottic*} 0M НбОмд (Network Cann«c^v<ty Te«t#f) a飞 1ndud*d In th# window» SuaaoH Tsk
厂 5. Run DCDieg to test networit rannectiv<tY and DNS resohition. To run the OCPgq BaL ,i>ur account DCthatTcol must tarMB DtMri*iin Adm屈ttoel&r and loeal m.ctvmr adminetrs^T ретпы^^оп», R.vke“ ths EXlOiaq l$g fil* TQU tpeefsed for 4hf <IT®” Or *4triMiQ，
厂 &. Run NotOiag 3 tail netwflrb «ian*ctivltT. Ta run the MotC"*g sal, *gw account: met h*v* l«al HHtbiuii To3 rhechtn» MSminurtrater penTiMsicnt. R#»iew th・ HvtDia? <og fil* for ・г>т errors ur wernmgt
「7. InrtflU £xch・ga Server 2003 on, Vi» **r¥«r by running Exth・ng・ $・Cup, T。insUK
Exchanq* S*rv»r 2M3* your demount must hev» th* faWowing p«fmis№o«H^ Full E^ehanga Asfminiitretor St the argerut46en level), Ехе|илде 5.5 Adminittratcr(4t the or^aniitticiti, t>tg, «nd configuratien Mv*l in W*o Eschange $,S dirertifrv), *nd tacM rn«chi»w admmiWMor, You Will *4so need to know the Exchtnqe 5.5 fricu account and pusfword.
Optional： Sprofy«рчйЛ to Setup I~~Brnws^ I
(<^nve> ：\«tup\iJ?«\#etup.e««) '■''
Рис. 4-21. Контрольный перечень установки Exchange Server 2003
Microsoft Exchange hisiallation Wizard (Мастер установки Microsoft Exchange) обнаружит существующую организацию Exchange Sener 5.5 и задаст вам вопрос, следует ли создать новую организацию или присоединиться к существующей. Щелкните Join An Existing Exchange Server 5.5 Organization (Присоединение к существующей организации Exchange Server 5.5), затем щелкните Next (Далее).
Теперь необходимо ввести имя существующего сервера Exchange Server 5.5. Мастер установки сообщит, что ему необходимо проверить некоторые условия и это займет несколько минут. Щелкните ОК для продолжения.
После завершения этого процесса откроется лицензионное соглашение. Примите условия соглашения и щелкните Next (Далее).
10* На следующем шаге необходимо ввести пароль для существующей учетной записи службы установки Exchange Server5.5 Inslallation Service Account (Учетная запись службы установки Exchange Server 5.5). Поля Username (Имя пользователя) и Domain (Домен) будут заполнены, поэтому введите только пароль и щелкните Next (Далее).
В окне сводки Installation Summary (Сводная информация об установке) будут перечислены действия, которые выполнит мастер. Щелкните Next (Далее) и установка Exchange Server 2003 на сервер будет запушена. После завершения работы программы установки щелкните Finish (Готово).
Когда программа установки завершит работу, при помощи утилиты Exchange Server Deployment Tools (Инструменты развертывания Exchange Server) можно установить в организации дополнительные серверы Exchange Server 2003 или закрыть утилиту.
Резюме
Графический интерфейс утилиты Exchange Server Deployment Tools (Инструменты развертывания Exchange Server) пошагово проведет вас через процесс установки Exchange Server 2003.
Утилиту Exchange Server Deployment Tools (Инструменты развертывания Exchange Server) также можно запустить из командной строки командой exdeploy.exe.
Служба Site Replication Service (Служба репликации сайтов) имитирует службу каталогов Exchange Server 5.5, работая совместно с ADC для обеспечения бесшовной интеграции и соединения Exchange Server 2003 и Exchange Server 5.5.
С консоли Active Directory Users and Computers (Active Directory — пользователи н компьютеры) можно управлять почтовыми ящиками пользователей, хранящимися на серверах Exchange Server 5.5 и Exchange Server 2003, тогда как при помощи Exchange System Manager (Диспетчер системы Exchange) можно управлять только Exchange Server 2003, а при помощи Exchange Administrator (Администратор Exchange)——только Exchange Server 5.5.
■ Служба Site Replication Service (Служба репликации сайтов) может работать только в организации, работающей в смешанном режиме.
Занятие 3. Устранение неполадок
с соединением между Active Directory
и Exchange Server 5.5
В идеалеt если выполнять все инструкции по планированию и установке, то в итоге развертывание Exchange Server 2003 должно пройти без проблем. Но в реальном мире зачастую возникают проблемы, особенно если организация Exchange достаточно сложна и включает несколько сайтов с множеством серверов. Умение эффективно устранять неполадки с соединением между Exchange Server 2003 и Exchange Server 5,5 жизненно важно для администратора организации, работающей в смешанном режиме.
Изучив материал этого занятия, вы сможете:
/ объединить дублирующиеся учетные записи;
/ устранить неполадки с ADC;
/ устранить неполадки со службой Site Replication Service (Служба репликации сайтов).
Продолжительность занятия — около 20 мннут.
Объединение дублирующихся учетных записей
При объединении нескольких каталогов существует вероятность появления дублирующихся учетных записей. Для решения этой проблемы в состав Exchange Server 2003 входит мастер Active Directory Account Cleanup Wizard (Мастер очистки учетных записей Active Directory, ADclean.exe). Наличие дублирующихся учетных записей может привести к проблемам производительности организации Exchange и трудностям в проверке подлинности пользователей. Однако исправить проблему двойных учетных записей не означает просто удалить одну или вторую учетную запись. Зачастую обе учетные записи содержат информацию о пользователе, которую нужно сохранить. Мастер Active Directory Account Cleanup Wizard (Мастер очистки учетных записей Active Directory) решает проблему за счет объединения дублирующихся учетных записей, что позволяет комбинировать существующие настройки.
Мастер пытается выявить двойные учетные записи в AD. Вы можете запустить мастер в автоматическом режиме, чтобы он произвел поиск no AD и нашел дублирующиеся данные самостоятельно, или же вручную указать, какие учетные записи следует объединить. Помимо этого, можно использовать одновременно оба способа. В таком случае основную работу по поиску учетных записей проведет мастер, а затем вы вручную укажете записи, которые не были распознаны. После завершения этапа идентификации можно просмотреть и исправить список операций объединения. Настроив все параметры объединения, можно либо выполнить саму операцию, либо экспортировать список учетных записей в файл .cs^ чтобы выполнить объединение позже. Это полезно при первом запуске мастера Active Directory Account Cleanup Wizard (Мастер очистки учетных записей Active Directory), когда вы хотите лишь собрать информацию, чтобы не повторять процесс поиска позже, перед фактическим объединением учетных записей. Тогда вы сможете просто импортировать файл .csv и завершить процесс объединения.
Существует два наиболее распространенных сценария использования мастера Active Directory Account Cleanup Wizard (Мастер очистки учетных записей Active Directory). Во-первых, полезно запускать его после перехода с домена Windows NT 4, когда появляются несколько новых отключенных учетных записей пользователей AD, являющихся дубликатами включенных учетных записей пользователей AD. При этом мастер выполняется Для объединения отключенных и включенных учетных записей в одну. Второй вариант — использовать мастер для объединения учетной записи пользователя AD с контактом. Это можно делать, только если вы уверены, что почтовый ящик есть либо только у учетной записи, либо только у контакта.
Вы объедините дублированные учетные записи при помощи мастера Active Directory Account Cleanup Wizard (Мастер очистки учетных записей Active Directory) в лабораторной работе в конце этого занятия.
Устранение неполадок с ADC
Неполадки с ADC обычно связаны с вопросами репликации. То есть объекты, настроенные в Exchange Server 5,5, не реплицируются в AD и наоборот. Есть несколько вопросов, как общего плана, так н относительно репликации между Exchange Server 5,5 и AD, которые следует рассмотреть перед тем, как начинать устранение неполадок с ADC
Основы устранения неполадок ADC
Далее перечислены вопросы, которые помогут вам в решен ни основных проблем с ADC.
■ Запушена ли служба ADC?
■ Настроено ли соглашение о соединении между компьютером Exchange Server и сервером AD?
■ Отображается ли реплицируемый контейнер в списке Export Containers (Экспортируемые контейнеры) или находится в каком-либо другом контейнере из списка Export Containers (Экспортируемые контейнеры)?
■ Включен ли и работает ли компьютер с Exchange Server 5.5? Работает ли на сервере служба каталогов Exchange Server 5.5?
■ Если у вас только один сервер AD, подключен ли 0H к сети?
■ Если вы настраиваете соглашение о соединении вручную, выбрали jivi нм класс объекта, который пытаетесь реплицировать, на вкладках From Windows (Из Windows) и From Exchange (Из Exchange) диалогового окна свойств соглашения?
・ Выбрали ли вы направление репликации информации в диалоговом окне свойств соглашения о соединении на вкладке General (Общие)? Настроено ли соглашение о соединении в соответствии с желаемым направлением репликации?
■ Достаточно ли полномочий для создания и модификации объектов у учетной записи пользователя, которую вы используете в целевом каталоге?
■ Есть ли в серверном журнале приложений (Application log) сообщения об ошибках (нал ри мер t сообщения о неправильных учетных данных, о недоступности сервера или других)?
Если все параметры настроены правильно и в журнале приложений нет сообщений об ошибках, проверьте следующее, чтобы выяснить, почему репликация в желаемом направлении не осуществляется.
Репликация из Exchange Server 5.5 в Active Directory
Далее перечислены ситуации, когда объект не реплицируется из Exchange Server 5.5 в AD.
■ Объект Exchange А соответствует объекту Active Directory В, но объект Active Directory В был удален.
■ Объект Exchange А соответствует объекту Active Directory В, но объект Active Directory В находится не в том иомене, в котором ADC имеет права записи (например, в другом дереве или домене того же леса).
■ Соглашение о соединении не охватывает несколько организаций, a A DC пытается сопоставить почтовый ящик с пользователем, имеющим почтовый адрес (mail-enabled
user). ADC должен сопоставлять ящики только с пользователями с почтовыми ящиками (mailbox-enabled user)*
Соглашение о соединении не охватывает несколько организаций, a ADC пытается сопоставить специального получателя или список распространения с пользователем с почтовым ящиком.
Сервер не является плацдармом для AD, и объект сопоставить невозможно. В таком случае соглашение о соединении не создает объект. Чтобы исправить ошибку, откройте свойства соглашения и на вкладке Advanced (Дополнительно) включите параметр This Is The Primary Connection Agreement For The Connected Windows Domain (Это основное соглашение о соединении для подключенного домена Windows).
Репликация из Active Directory в Exchange Server 5.5
Далее перечислены сценарии, когда объект нс реплицируется из AD в Exchange Server 5.5.
Объект Active Directory А соответствует объекту Exchange Server 5.5 В, но объект Exchange Server 5.5 В удален,
Объект Active Directory А соответствует объекту Exchange Server 5.5 В, но объект Exchange Server 5.5 В находится не в том же сайте, в котором расположен компьютер Exchange Server 5.5, указанный в соглашении о соединении.
Соглашение о соединении нс является основным соглашением для организации Exchange. В таком случае соглашение о соединении не создает объект. Чтобы исправить ошибку, откройте сэойства соглашения о соединении и на вкладке Advanced (Дополнительно) включите параметр This Is The Primary Connection Agreement For The Connected Exchange Organization (Это основное соглашение о соединении для подклю* ченной организации Exchange).
Объект в AD не содержит информации об электронной почте. Объект должен обладать, по меньшей мере, одним из следующих атрибутов, чтобы его можно было реплицировать в Exchange: mail, legacy ExchangeDN, tcxtEncodedORAddress, proxy Addresses или msExchHomeServerName. Объект группы может иметь атрибут rnailNickname, а объекты пользователей и контакты — атрибут target Address.
Диагностические журналы
Ведение диагностических журналов — это удобный способ поиска и устранения неполадок с ADC. Можно регистрировать в журнале несколько категорий ошибок, генерируемых ADC. На рис. 4-22 показана вкладка Diagnostic Logging (Диапюстичекие журналы) консоли Active Directory Connector Services (Службы Active Directory Connector). Правой кнопкой мыши щелкните Active Directory Connection, выберите в контекстном меню пункт Properties (Свойства) и пЬрейдите на вкладку Diagnostic lagging (Диагнос- тмчекне журналы).
Рис. 4-22. Active Directory Connector Diagnostics Logging
В целом, включать ведение журналов не следует, по крайней мере, не делайте этого на самых высоких уровнях. Сообщения быстро заполнят журнал приложений, н вам будет сложно найти нужную информацию в программе Event Viewer (Просмотр событий). Однако для поиска и устранения неполадки можно включить регистрацию событий на всех уровнях и затем просмотреть журнал в программе Event Viewr (Просмотр событий). Журнал ведется по следующим категориям:
Replication (Репликация) Сообщения о событиях, произошедших во время репликации;
Account Management (Управление учетными записями) Ошибки, произошедшие во время записи или удаления объектов при репликации;
Attribute Mapping (Сопоставление атрибутов) Ошибки, произошедшие во время сопоставления атрибутов между Exchange Server 5*5 и AD;
Service Controller (Контроллер служб) Сообщения, относящиеся к запуску и остановке служб;
LDAP Operations (Операции LDAP) Ошибки, произошедшие во время генерации вызовов LDAP для доступа к AD.
Подготовка к экзамену Для успешной сдачи экзамена мы советуем в большей степени сосредоточиться на настройке соглашений о соединении, а не на устранении неполадок при помощи диагностических журналов.
Устранение неполадок службы Site Replication Service
В обычных условиях служба Site Replication Service (Служба репликации сайтов) управляется самостоятельно и не требует приложения особых усилий по администрированию. Первое, что следует проверить в ситуации, когда соглашение о соединении ADC настроено и правильно работает, но информация не реплицируется между службой Site Replication Service (Служба репликации сайтов) и AD:
убедиться, что служба Site Replication Service (Служба репликации сайтов) работает на сервере Exchange Server 2003;
убедиться, что соглашение о соединении Con行g_CA, используемое службой Site Replication Service (Служба репликации сайтов), правильно настроено н указывает на правильный сервер Exchange и контроллер домена AD. Щелкните кнопку Browse (Обзор) чтобы выбрать точные имена, а не вводить их вручную;
убедиться, что указан правильный номер порта LDAP и трафик может достичь этого порта на сервере, где запущена служба Site Replication Service (Служба репликации сайтов);
заново создать соглашение о соединении н, возможно, создать новую службу Site Replication Service (Служба репликации сайтов), после этого удалив существующую.
Лабораторная работа. Устранение неполадок с соединением между Active Directory и Exchange Server 5.5
В этой лабораторной работе вы запустите мастер Active Directory Account Cleanup Wizard (Мастер очистки учетных записей Active Directory) и объедините двойные учетные записи. Перед тем как начать, необходимо выполнить упражнения первого занятия.
Упражнение 1. Объединение дублирующихся учетных записей
На сервере Serveг02 запустите мастер Active Directory Account Cleanup Wizard (Мастер очистки учетных записей Active Directory). В меню Start (Пуск) выберите All Programs (Все программы), Microsoft Exchange, Deployment (Развертывание), затем щелкните Active Directory Account Cleanup Wizard (Мастер очистки учетных записей Active Directory). После запуска мастера нажмите на кнопку Next (Далее), чтобы пропустить страницу приветствия. Первый шаг удаления дублирующихся учетных записей заключается в их поиске. На рис. 4-23 показана страница мастера Identify Merging Accounts (Поиск объединяемых учетных записей), на которой необходимо выбрать контейнеры для поиска и тип поиска. Поиск может производиться мастером, или же вы можете импортировать файл csv со списком учетных записей для слияния; можно использовать оба способа. На странице Identify Merging Accounts (Поиск объединяемых учетных записей) выберите поиск существующих учетных записей в контейнере Users (Пользователи) в AD.
Рис. 4-23. Поиск дублирующихся устных записей
После обнаружения существующих дублирующихся учетных записей появляется страница мастера Review Merging Accounts (Просмотр дублирующихся учетных записей), показанная на рис. 4-24. Если мастер не нашел ни одной учетной записи, щелкните Add (Добавить). Щелкните Browse (Обзор), для Source account (Исходная учетная запись) найдите учетную запись пользователя Nicole Carol, а для Target account (Целевая учетная запись) найдите Nicole Holliday, как показано на рис. 4-24. Щелкните ОК, затем щелкните Next (Далее),
Рис. 4-24. Просмотр объединяемых учетных записей
В зависимости от нашей организации может быть найдено множество дублирующихся учетных записей пользователей. Мастер позволяет сразу же начать процесс объединения или экспортировать информацию в файл .csv для дальнейшей обработки. Этот этап показан на рис. 4-25. Выберите параметр Export The List Of Merge Accounts To A File (Экспортировать список объединяемых учетных записей в файл) и в качестве имени файла введите c:\admerge. csv. Для продолжения щелкните Next (Далее).
Рис. 4-25. Выбор слияния или экспортирования в файл .csv
На странице сводки щелкните Next (Далее), затем шелкните Finish (Готово),
Откройте файл C:\Admergc.csv в Блокноте (Microsoft Notepad) и просмотрите информацию об учетных записях. После этого можно снова запустить мастер Active Directory Account Cleanup Wizard (Мастер очистки учетных записей Active Directory) и на этот раз импортировать файл со списком учетных записей для слияния.
Закройте Microsoft Notepad (Блокнот) и еще раз запустите мастер Active Directory Account Cleanup Wizard (Мастер очистки учетных записей Active Directory).
На странице Identify Merging Accounts (Поиск объединяемых учетных записей) сбросьте флажок Search Entire Directory (Искать во всем каталоге) или флажки отдельных контейнеров и установите флажок Import A List Of Merging Accounts (Импортировать список объединяемых учетных записей). Найдите на диске файл C:\Admerge.csv, щелкните ОК, затем щелкните Next (Далее).
Выберите Begin The Merge Process Now (Начать процесс объединения немедленно) и в диалоговом окне подтвержден ня шелкните Ks (Да). Для завершения процесса слияния шелкните Next (Далее), затем щелкните Finish (Iotobo).
Откройте консоль Active Directory Users and Computers (Active Directory — пользователи к компьютеры) и убедитесь, что учетная запись Nicole Carol удалена, точнее, она объединилась с учетной записью Nicole Holliday.
Если вы выбрали вариант Begin The Merge Process Now (Начать процесс объединения немедленно), мастер предупредит вас, что разделить объединенные учетные записи впоследствии будет невозможно. Для подтверждения щелкните Yes (Да), затем щелкните Next (Далее).
L После завершения процесса откроется страница мастера Accounts Merge Results (Результаты объединения учетных записей). Просмотрите статистику и проверьте, не произошло ли сбоев. Также на этой странице можно указать месторасположение журнала для записи результатов. Щелкните Next (Далее), затем щелкните Finish (Готово).
Резюме
Используйте мастер Active Directory Account Cleanup Wizard (Мастер очистки учетных записей Active Directory) для объединения дублирующихся учетных записей, найденных в процессе слияния нескольких каталогов.
Дублирующиеся учетные записи мо*но найти при помощи мастера или ввести вручную на соответствующей странице мастера Active Directory Account Cleanup Wizard (Мастер очистки учетных записей Active Directory).
Устранение неполадок с коннектором ADC и службой SHe Replication Service (Служба репликации сайтов) обычно включает решение проблем с репликацией и соглашениями о соединении.
創 Практикум ло устранению проблем
В этом практикуме вы создадите соглашение о соединении между Exchange Server 5.5 и AD, но не измените номер порта LDAP, как требует установка ADC на контроллер домена. Вы измените настройки порта, чтобы репликация могла успешно осуществляться.
Перед тем, как приступать к этому практикуму, необходимо установить два сервера, как описано в начале главы. Также необходимо установить ADC на сервер ServerOl, являющийся контроллером домена под управлением Windows 2000 Server.
Упражнение 1. Настройка соглашения о соединении
Откройте консоль Active Directory1 Connector Services (Службы Active Directory Connector),
Правой кнопкой мыши щелкните Active Directory Connector (ServerOl), в контекстном меню выберите пункт New (Создать) и щелкните Recipient Connection Agreement (Соглашение о соединении для пользователей).
Создайте соглашение о двустороннем соединении1 чтобы включить репликацию между контейнерами Recipients (Получатели) and Users (Пользователи), расположенными на сервере ServerOl. Нс изменяйте никакие значения по умолчанию. Завершите создание соглашения.
Откройте программу Exchange Administrator (Администратор Exchange) и создайте новый почтовый ящик. Щелкните Create A New Windows NT Account (Создать новую учетную запись Windows NT) и создайте учетную запись пользователя. Завершите создание почтового ящика,
Откройте консоль Active Directory Users and Computers (Active Directory — пользователи и компьютеры) и перейдите к контейнеру Users (Пользователи). Проверьте, что учетная запись пользователя в AD не существует.
Упражнение 2. Изменение порта LDAP
На консоли Active Directory Connector Services (Службы Active Directory Connector) отредактируйте соглашение о соединении: на вкладке Connections (Соединения) в разделе Exchange information (Информация Exchange) измените номер порта LDAP с 389 на 1389.
В программе Exchange Administrator (Администратор Exchange) разверните контейнер Configuration (Конфигурация) и щелкните контейнер Protocols (Протоколы). Щелкните LDAP (Directory) Site Defaults (LDAP (каталог) установки сайта по умолчанию), затем в меню File (Файл) щелкните Properties (Свойства).
Измените номер порта LDAP на 1389 (тот же, что выбран для ADC).
Откройте консоль Services (Службы) н перезапустите Microsoft Exchange System Attendant. Щелкните ¥&s (Да) в диалоговом окне с просьбой перезапустить все зависимые службы.
После того как службы будут перезапущены, правой кнопкой мыши щелкните па консоли Active Directory Connector Services (Службы Active Directory Connector) соглашение о соединении и в контекстном меню выберите Replicate Now (Реплицировать немедленно).
Обновите содержимое окна в консоли Active Directory Users and Computers (Active Directory ——пользователи и компьютеры) и проверьте, что теперь учетная запись пользователя была реплицирована.
ГЛАВА 5
Миграция с Microsoft Exchange Server и других почтовых систем
Занятие 1.
Обновление Exchange Server 5*5 и Exchange Server 2000
115
Занятие 2.
Настройка Exchange Server 2003 для взаимодействия с другими системами обмена сообщениями
137
Занятие 3.
Миграция с прочих систем обмена сообщениями
148
Темы экзамена
Переход на Microsoft Exchange Server 2003 с прочих систем обмена сообщениями.
Переход с систем обмена сообщениями других производителей при помощи мастера Exchange Migration Wizard.
а Миграция других организаций Exchange.
Обновление Exchange Server 5.5 до Exchange Server 2003,
Настройка н устранение неполадок Exchange Server 2003 при совместном существо- вами и с прочими системами обмена сообщениями.
Настройка и устранение неполадок Exchange Server 2003 при взаимодействии с другими системами обмена сообщениями» работающими по протоколу Simple Mail Transfer Protocol (SMTP).
В этой главе
Непрерывное развитие технологии и непрекрашаюшаяся рыночная конкуренция заставляют компании постоянно оценивать свои нужды в зависимости от современных технологий, чтобы определить, нужно ли переходить на новую версию продукта, который используется в данное время, или полностью перейти на продукт конкурирующего производителя. Это особенно верно дп只 сред обмена сообщениями и совместной работы — то есть сетевых служб, представляющих первостепеную важность для большинства организаций. В качестве сетевого администратора или администратора Exchange
вы постоянно будете заниматься обновлением и переходом на новые технологии. Следовательно, вам чрезвычайно важно изучить процесс миграции с других систем обмена сообщен и я \f и на Exchange Server 2003 и узнать, как настроить Exchange Server 2003 для совместного существования с другими системами обмена сообщениями, которые может использовать организация.
Прежде всего
Для выполнения упражнений в этой главе вам потребуется следующее:
выполнить упражнения главы 3 ^Настройка инфраструктуры Microsoft Exchange Server 2003*;
установить Exchange Server 5.5 на контроллер домена Microsoft Windows 2000 Server с именем ServcrOl в домене litware.cotn и установить Exchange Server 2003 на сервер Microsoft Windows Server 2003 с именем Serveг02 в том же домене и организации Exchange.
Для завершения процесса перехода, который начался в главе 4 с настройки совместного существования, вам понадобится:
контроллер домена под управлением Windows 2000 Server SP3 или более поздней версии, установленный как сервер ServeгОЗ в домене fabrikam.com. На этот сервер необходимо установить Exchange 2000 Server и включить его в организацию Fabrikam.
Занятие 1. Обновление Exchange Server 5.5 и Exchange Server 2000
Как ИТ-профессионал и администратор Exchange Server вы наиболее часто будете сталкиваться с двумя типами миграции: обновление с предыдущей версии продукта и перенос существующих настроек в новую среду В зависимости от среды в качестве одной из подготовительных мер при переходе с Exchange Server 5+5 на Exchange Server 2003 вам может потребоваться заменить структуру домена Microsoft Windows NT 4 на службу каталогов АО. Или жет AD может быть уже установлена, и тогда перед вами будет стоять только задача обновления или переноса существующей организации Exchange Server 5.5 или Exchange 2000 Server на Exchange Server 2003. Какой бы ни была среда, важно уметь обновлять существующую среду Exchange Server до самой новой версии.
Изучив материал этого занятия, вы сможете:
/ обновить и перевести организацию Exchange Server 5.5 на Exchange Server 2003;
/ обновить и перевести организацию Exchange Server 2000 на Exchange Server 2003.
Продолжительность занятия: 180 минут.
Обновление и перевод организации Exchange Server 5.5 на Exchange Server 2003
В главе 4 вы настроили Exchange Server 2003 для работы в организации Exchange Server 5,5. Одна из стратегий перехода на Exchange Server 2003 включает настройку синхронизации Exchange Server 5.5 с AD. Однако в зависимости от параметров вашей сети Windows и организации Exchange Server 5,5 вы можете столкнуться с двумя сценариями миграции:
перевод серверов Exchange Server 5.5 на новые серверы Exchange Server 2003 в той же организации;
перенос учетных записей пользователей в новый домен AD и организацию Exchange Server 2003.
Перевод серверов Exchange Server 5.5 на Exchange Server 2003 в той же организации
Перед тем как переносить почтовые ящики из Exchange Server 5,5 в Exchange Server 2003, сначала необходимо перенести учетные записи пользователей из Windows NT 4 в AD. Среда AD может быть основана на Windows 2000 Server, Windows Server 2003 или сочетать эти две сетевые операционные системы.
Подробное обсуждение обновления домена Windows NT 4 до домена Windows Server 2003 Active Directory лежит за пределами темы этой книги, но существует несколько основных принципов обновления, которые следует строго соблюдать. Во-первых, обновляя домен Windows NT 4, в первую очередь необходимо перевести на Windows Server 2003 главный контроллер домена (primary domain controller, PDC). После того, как вы сделаете это, AD будет работать в смешанном режиме, обеспечивающем поддержку контроллеров домена Windows Server 2003 и Windows NT 4. Не обязательно сразу же обновлять дополнительные серверы, однако обычно после этого рекомендуется обновить все резервные контроллеры домена (backup domain controllers, В DC), чтобы в итоге получить полностью обновленные контроллеры домена всех типов. После того как в домене не останется контроллеров домена Windows NT 4t можно переводить домен в основной режим Windows 2000 (Windows 2000 Native mode) или в режим Windows Server 2003.
Примечание Подробнее о режимах работы доменов — в главе 3 «Настройка инфраструктуры Microsoft Exchange Server 2003*.
Совет Повышение режима работы домена со смешанного не препятствует тому, чтобы в домене существовгыи рядовые серверы Windows NT 4, но контроллеров домена этой версии быть не должно.
Однако сервер, на котором работает Exchange Server 5.5, невозможно обновить с Windows NT 4 до Windows Server 2003, по крайней мерс, сразу же. Exchange Ser-
ver 2003 —— это единственная версия сервера Exchange Server, которую поддерживает Windows Server 2003. Вам придется произвести промежуточное обновление сервера, где установлен Exchange Server 5,5, до Windows 2000 Server с пакетом обновлений SP3 или более поздним, затем обновить его до Exchange Server 2003 и уже после этого обновлять операционную систему до Wndows Server 2003.
Помимо этого, не поддерживается обновление Exchange Server 5,5 до Exchange Server 2003 на месте, что означает, что программу установки (Setup) Exchange Server 2003 невозможно запустить на существующем сервере Exchange Server 5.5, даже если он отвечает всем требованиям (в частности, на нем установлена ОС Windows 2000 Server с пакетом обновлений SP3 или более поздним). В такой ситуации существует два варианта обновления: выполнить обновление на месте до Exchange 2000 Server или осуществить миграцию на новый сервер.
Промежуточное обновление до Exchange 2000 Server
Первый эариант ——провести промежуточное обновление Exchange Server 5.5 до Exchange 2000 Server. Exchange Server 2003 не поддерживает обновление с версии Exchange Server 5.5 на месте, поэтому можно сначала обновить Exchange Server 5.5 до Exchange 2000 Server, а затем сразу же обновить Exchange 2000 Server до Exchange Server 2003. Эта процедура позволяет использовать существующее аппаратное обеспечение сервера, и вам не приходится переметать почтовые ящики на другой сервер. Windows 2000 Server SP3 — это распространенная серверная платформа, которую поддерживают все три версии Exchange Server. Наиболее ранняя версия пакета обновлений, который необходимо установить в этой ОС ——SP3, хотя можно также использовать SP4.
Чтобы обновить Exchange Server 5.5 до Exchange 2000 Scrvefj помимо требований к операционной системе, необходимо, чтобы были выполнены следующие условия: ■ на Exchange Server 5.5 был установлен пакет обновлений SP3 или более поздний;
помимо стандартных компонентов Информационной службы Интернета (Internet Information Services, 1IS), необходимо установить службы Windows 2000 Server SMTP и Network News Transfer Protocol (NNTP);
для запуска утилиты ForestPrep учетная запись, с которой устанавливается Exchange 2000 Server, должна иметь полномочия Schema 4М打山§ (Администратора схемы), а для запуска Domain Prep — полномочия Enterprise Admins (Администратора предприятия).
Установка Exchange 2000 Server схожа с установкой Exchange Server 200 3: оба процесса подразумевают использование Microsoft Exchange Installation Hazard (Мастера установки Microsoft Exchange). После запуска программы установки Exchange 2000 Server мастер обнаружит существующую организацию, и вы сможете выбрать создание новой организации или присоединение или обновление существующей. Выберите вариант обновления и выполните все инструкции мастера по обновлению Exchange Server 5.5 до более новой версии. Однако во время первого обновления компоненты, которые не были установлены в Exchange Server 5,5, добавить невозможно. Тем не менее, после завершения работы программы установки можно снова запустить мастер установки и при необходимости добавить какие-либо компоненты* Обновление Exchange 2000 Server до Exchange Server 2003 обсуждается во втором занятии этой главы.
Перевод Exchange Server 5.5 на Exchange Server 2003 на другом сервере
Если вы не хотите обновлять Exchange Server 5.5 до Exchange 2000 Server и осуществлять обновление на месте, то можно сразу же перевести Exchange Server 5.5 на Exchange Server 2003 на другом сервере. В этом варианте необходимо установить среду Active Directory Windows 2000 Server или Windows Server 2003 и присоединить организацию Exchange Server 5.5 к AD при помощи коннектора Active Directory (ADC). После того как вы настроите синхронизацию каталога, установите Exchange Server 2003 на сервер, где нет версии Exchange Server 5.5, присоединив его к существующей организации Exchange Server 5.5. После этого в консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры) выполните задачу Exchange Move Mailbox (Переместить почтовый ящик) и за один раз переместите все почтовые ящики с сервера Exchange Server 5.5 на сервер Exchange Server 2003.
После этого необходимо переместить на сервер Exchange Server 2003 прочие ресурсы серверов Exchange Server 5.5, например структуру общих папок и используемые коннекторы. После завершения всех процедур переноса, сервер Exchange Server 5.5 можно будет удалить из организации. Если на сервере Exchange Server 5.5 был настроен Internet Mail Connector, отправляющий и принимающий электронную почту организации, то на сервере Exchange Server 2003 необходимо настроить виртуальный сервер SMTP и изменить запись почтового обменника (mail exchanger, MX) в системе доменных имен (Domain Name System, DNS), чтобы он указывал на новый сервер. На время переключения доставка почты из Интернета будет прервана (обычно DNS распространяет данные по Интернету за 1-3 дня), а после того как вы убедитесь, что вся почта проходит через новый виртуальный сервер SMTR службу internet Mail Service (IMS) можно будет удалить с сервера Exchange Server 5.5.
Примечание Настройка виртуальных серверов SMTP обсуждается в главе 10 «Настройка и управление протоколом SMTP% Настройка виртуальных серверов других типов, функции которых вам может понадобиться перенести с Exchange Server 5.5 на Exchange Server 2003, например Outlook ХМзЬ Access (OWA) и NNTR рассматривается в главе 9 «Внртуа刀bHbie серверы».
Подготовив вес необходимое к удалению из организации последнего сервера Exchange Server 5.5, сделайте следующее:
С консолн Services (Службы) остановите службы Exchange Server 5.5 и отключите Microsoft Exchange System Attendant (переведите в состояние Disabled).
На сервере Exchange Server 2003 запустите программу Exchange 5.5 Administrator, выберите пункт меню FHe\Connect То Server (Файл\Подключиться к серверу).
Необходимо использовать версию Exchange 5.5 Administrator для Exchange Server 2003, которую устанавливает программа установки Exchange Server 2003.
Подключитесь к серверу Exchange Server 2003 и удалите из сайта сервер Exchange Server 5.5.
Откройте консоль Active Directory Connector Services (Службы Active Directory Connector). Правой кнопкой мыши щелкните соглашение о соединении для конфигурации (Config_CA) и в контекстном меню выберите Replicate Now (Реплицировать), чтобы запустить репликацию.
Откройте утилиту Exchange System Manager (Диспетчер системы Exchange). Убедитесь, что Exchange Server 5.5 удален с консоли, и разверните контейнер Tools (Инструменты). Удалите службу Site Replication Service (Служба репликации сайтов). При этом также будет удалено соглашение о соединении Config_CA.
Удалите эсс соглашения о соединении для Recipient (получателей) и Public Folder (общих папок), настроенные в консоли Active Directory Connector Services (Службы Active Directory Connector).
При помощи средства Add/Remove Programs (Установка к удаление программ) удалите коннектор A DC.
В данный момент можно также переключить организацию Exchange из смешанного в основной режим. Для этого откройте утилиту Exchange System Manager (Диспетчер системы Exchange), правой кнопкой мыши щелкните имя организации, в контекстном меню выберите Properties (Свойства) и щелкните Change Mode (Изменить режим),
Миграция учетных записей пользователей между лесами
Помимо необходимости обновить или перенести Exchange Server 5.5 в пределах организации, могут возникать ситуации, когда вам потребуется перенести организацию Exchange Server 5.5 в отдельную организацию Exchange Server 2003 в другом лесу AD. В целом, этот процесс схож, с переносом из домена Windows NT 4 в домен AD (сначала вы обрабатываете учетные записи пользователей и только после этого перемещаете почювые яшики). Для перехода нз одной организации в другую необходимо выполнить следующие требования:
настроить двусторонее доверие между исходным и целевым доменом;
иметь административные полномочия во всех перечисленных областях:
口 исходный домен;
целевой домен и организационное подразделение (ОП);
а все локальные компьютеры, настройки безопасности которых переносятся в новый домен.
Перенос учетных записей пользователей с соглашением о соединении для получателей Самые сложные вопросы переноса Exchange Server из одной организации в друпрю относятся к связям между почтовыми ящиками и учетными записями пользователей. Exchange 2000 Server и Exchange Server 2003 в обязательном порядке требуют существования однозначных отношений между учетными записями и почтовыми ящиками пользователей. Таким образом, учетную запись пользователя можно связать только с одним почтовым ящиком. В Exchange Server 5.5 не существовало такого ограничения, так как эта версия поддерживала собственный каталог, независимый от Windows, н зачастую у одной учетной записи пользователя Windows было несколько почтовых ящиков Exchange Server 5.5. Такое несоответствие создает потенциальную проблему при переходе с Exchange Server 5.5 на Exchange Server 2003, и данный вопрос необходимо решать до или во время процесса миграции. Существуют два подхода к решению задачи: один использует коннектор A DC, а второй — утилиту Active Directory Migration Tool (Миграция в Active Directory).
Вспомните из главы 4、что при настройке соглашения о соединении для получателей (Recipient Connection Agreement) вы указали, как коннектор должен обрабатывать почтовые ящики, не связанные с учетными записями пользователей. По умолчанию, если ADC не может сопоставить почтовый ящик существующей учетной записи, он создает новую отключенную учетную запись. Хотя этот способ позволяет перенести почтовые яшики Exchange Server 5*5 в новую организацию Exchange Server 2003, его применять не рекомендуется. Только что созданным учетным записям пользователей будут назначены другие идентификаторы безопасности (SID), отличные от идентификаторов, использующихся в исходной организации. Это означает, что для новых SID не будут настроены разрешения и они не будут являться владельцами соответствующих почтовых яшиков, В большой организации Exchange Server вам придется потратить немало времени на включение всех учетных записей по отдельности и предоставлений им полномочий, связанных с соответствующими почтовыми ящиками.
Перенос учетных записей пользователей при помощи утилиты Active Directory Migration Tool
Самый простой способ перенести учетные записи пользователей из одного домена в другой — использовать утилиту Active Directory Migration Tool (Миграция в Active Directory), находящуюся на установочном компакт-диске Windows Server 2003 в папке \I386\ADMT. Утилита Active Directory Migration Tool (Миграция в Active Directory) позволяет осуществлять миграцию как в пределах леса, так и между несколькими лесами, в зависимости от ваших требований. Так как новый Exchange Server поддерживает только одну организацию в лесу AD, при переходе с Exchange Server 5.5 в новую организацию Exchange Server 2003 вы будете выполнять миграцию внутри леса.
Основным преимуществом утилиты Active Directory Migration Tool (Миграция в Active Directory) является возможность переноса истории идентификаторов SID учетной записи пользователя, что позволяет после выполнения миграции сохранить все полномочия. Версия 2 утилиты Active Directory Migration Tool (Миграция в Active Directory), входящая в состав дистрибутива Windows Server 2003, также позволяет переносить пароли учетных записей пользователя (что было невозможно в первой версии утилиты). Это решает распространенную проблему, заключающуюся в необходимости назначать пароли вручную или присваивать всем учетным записям пользователей одинаковый пароль, который затем приходится менять при первом входе в систему. Однако для того чтобы использовать вторую версию утилиты, нужно установить дополнительную динамически подключаемую библиотеку (dynamic link library, DLL). Причина заключается в необходимости поддерживать максимальную безопасность паролей. Благодаря этой библиотеке при экспортировании паролей список паролей защищается секретным ключом, который создается версией утилиты Active Directory Migration Tool (Миграция в Active Directory) для командной строки, Admt.exe.
Примечание Подробнее узнать об использовании утилиты Active Directory Migration Tool можно из двух хороших источников информации: статей базы знаний Microsoft 3 26480, «How to Use Aciive Directory Migration Tool Version 2 to Migrate from Windows 2000 to Windows Server 2003» и 325 851, «HOW TO: Set Up ADMT for a Windows NT 4,0-to-Windows Server 2003 Migration*.
Перенос Exchange Server 5.5 в новую организацию Exchange Server 2003
После того как вы перенесли учетные записи пользователей из исходного домена в одном лесу AD в целевой домен в другом лесу AD, можно начинать процесс переноса почтовых яшиков Exchange Server 5.5. Для переноса организации Exchange Server 5.5 в новую организацию используйте мастер Exchange Migration 做z"出(Мастер мнгранин Exchange), Запустите мастер миграции на целевом сервере Exchange Server 2003. Выберите пункт меню Start\All Programs\Microsoft Exchange\Deployment\Migration Wizard (Пуск\Все nporpaMMhi\Microsoft ЕхсЬапёе\Развертъшание\Мастер миграции Exchange).
Мастер миграции попытается сопоставить почтовый ящик в исходном домене с существующей учетной записью пользователя AD в целевом домене. Если почтовые ящики пока что не существуют в AD в виде пользователей или контактов, мастер создаст новых пользователей AD* Если почтовый ящик Exchange Server 5.5 уже существует в AD в виде контакта (например, контакта, созданного соглашением о соединении между организациями (Inter-Organizational Connection Agreement)], то мастер сопоставит почтовый ящик Exchange Server 5.5 с контактом и преобразует контакт в учетную запись пользователя AD. После того как мастер миграции создаст новых пользователей, он начнет перенос данных почтовых ящиков в хранилища почтовых ящиков Exchange. Сможет ли мастер успешно сопоставить почтовые ящики с учетными записями пользователей, зависит от того, как вы подготовили AD. Если вы не создавали учетные записи в новом домене, то мастер миграции создаст новые учетные записи пользователей для каждого почтового ящика. Если вы запускали утилиту Active Directory Migration Tool (Миграция в Active Directory) и перенесли учетные записи пользователей в новый домен, то мастер миграции сможет сопоставить каждый почтовый ящик с соответствующей учетной записью пользователя, и переход в новый домен н новую организацию Exchange Server 2003 пройдет более гладко.
В конце этого занятия вы на практике проведете миграцию организации Exchange Server 5.5, созданной в главе 3, в новую организаиию Exchange Server 2003 в другом домене.
В следующем списке перечислены задачи, которые выполняет мастер Exchange Migration Wizard (Мастер миграции Exchange)» а также ограничения мастера.
Задачи, выполняемые мастером Exchange Migration Wizard
Мастер Exchange Migration Wizard (Мастер миграции Exchange) предназначен для выполнения следующих задач:
перенос всей информации почтовых яшиков в новые почтовые ящики Exchange Server, включая следующие папки:
Inbox (Входящие);
Drafts (Черновики);
Sent Items (Отправленные);
口 Calendar (Календарь);
Tasks (Задачи);
пользовательские папки, созданные владельцем почтового ящика;
Contact (Контакты).
создание в AD новых учетных записей пользователей (если они еще не существуют) на основе учетных записей Exchange Server 5.5 в исходной организации;
перенос Х*400, SMTF* cc:Mail, Microsoft Mail и других адресов электронной почты в атрибут адреса электронной почты новой учетной записи пользователя в AD;
преобразование контактов AD в учетные записи пользователей с адресом электронной почты (mail-enabled user accounts) при переходе с Exchange Server 5,5 (если контакты созданы коннектором ADC). Если контакт создан в целевом домене AD вручную и осуществляется перенос почтового яшика с тем же псевдонимом, то в AD создается новая отключенная учетная запись пользователя, к имени пользователя которой прибавляется символ «1». Исходный контакт не меняется. Только контакты, созданные коннектором ADC, преобразуются мастером Exchange Migration Wizard (Мастер миграции Exchange) в учетные записи пользователей с адресом электронной почты;
обновление членства в группах Exchange Server 2003 при переходе с Exchange Server 5.5. Однако при этом не осуществляется перенос списков рассылки Exchange Server 55 Например, если группа распространения в AD содержит контакты, то во время процедуры переноса эти контакты преобразуются в отключенные учетные записи пользователей и группа распространения в AD обновляется, чтобы отразить эти изменения.
Ограничения мастера Exchange Migration Wizard
Мастер Exchange Migration Wizard (Мастер миграции Exchange) не выполняет следующие задачи:
очистка или удаление почтовых яшиков в исходной организации. Исходные почтовые ящики в исходной организации все также продолжают принимать сообщения после завершения процесса миграции. Необходимо удалить исходные почтовые яишки и перенастроить почтовые профили пользователей (например, в Microsoft Outlook), чтобы они указывали на новые почтовые ящики, хранящиеся в целевой организации Exchange Server;
сохранение таблиц управления доступом (access control list, ACL)* Мастер Exchange Migration Wizard (Мастер миграции Exchange) не сохраняет таблицы управления доступом к другим почтовым ящикам или общим папкам, только к ресурсам, связанным с учетной записью пользователя. Если после миграции владелец почтового ящика обновит профиль электронной почты, назначив ему новый почтовый ящик в целевой организации Exchange, то он больше не сможет подключаться к почтовым ресурсам в исходной организации Exchange Server 5.5;
перенос почтовых ящиков в пределах организации. Исходная организация, из которой переносятся почтовые ящики, не должна совпадать с целевой организацией;
перенос личных почтоэых архнвов или личных адресных книг Личные адресные книги содержат информацию о контактах, но файл с этими данными хранится не в серверных базах данных. В этом заключается отличие от папки Contacts (Контакты), позволяющей хранить аналогичные данные в пределах почтового ящика пользователя на сервере;
перенос списков рассылки. Перенести списки рассылки Exchange Server 5.5 можно одним из следующих методов:
преобразовать список рассылки в обшую папку, а затем перенести общую папку;
экспортировать список рассылки и преобразовать его при помощи утилит командной строки Ldifde или Csvde.
перенос правил папки Inbox (Входящие). После того как информация почтового ящика будет перенесена при помощи мастера Exchange Migration Wizard (Мастер миграции Exchange), владельцы почтовых ящиков должны будут заново создать правила для входящих сообщений Outlook;
перенос общих палок. Чтобы перенести общие папки, можно экспортировать их в файлы .pst или использовать утилиту Replication (Репликация), позволяющую осуществлять репликацию между организациями.
Объем административной работы, которую вам придется выполнить после завершения миграции, зависит от того, переносили ли вы учетные записи пользователей AD при помощи утилиты Active Directory Migration Tool (Миграция в Active Directory) или новые учетные записи создавались коннектором ADC или мастером Exchange Migration Wizard (Мастер миграции Exchange). Если вы использовали Active Directory Migration Tool (Миграция в Active Directory) н в процессе миграции также перенесли пароли, то пользователям нужно будет просто зарегистрироваться в новом домене с тем же именем и паролем, которые использовались ранее, и создать новый профиль электронной почты, указывающий на новый сервер Exchange Server 2003. После этого они смогут открыть Outlook и возобновить работу. Единственное, что им придется проделать заново — это настроить правила для входящих сообщений, файлы .psi и личные адресные книги.
Если же вы не использовали утилиту Active Directory Migration Tool (Миграция в Active Directory), то вам необходимо настроить учетные записи пользователей AD, включив их и по отдельности подключив каждую учетную запись к соответствующему почтовому ящику. После этого пользователи смогут зарегистрироваться в домене и перенастроить профили электронной почты, назначив им новый сервер Exchange Server 2003.
Внимание! При переносе почтовых яшиков при помощи мастера Migration Wizard теряется такая особенность, как существование единственного экземпляра хранилища б Exchange Server. Обычно» если сообщение отправляется нескольким получателям в организации, то существует только один экземпляр этого сообщения, к которому при помощи указателей обращаются несколько почтовых ящиков. Это позволяет существенно снижать требования к объемам хранилищ Exchange Server. При переносе информации почтовых ящиков в другую организацию сообшение дублируется в каждом почтовом ящике, к которому относится, м, таким образом, оно существует уже не в единствен ом экземпляре. В итоге банк сообщений после переноса может быть намного больше, чем исходный банк сообшений, поэтому, перед тем как начинать миграцию, важно убедиться, что на целевом жестком диске достаточно свободного пространства.
Обновление и миграция организации
Exchange 2000 Server до Exchange Server 2003
Обновить Exchange 2000 Server до Exchange Server 2G33 намного проще, чем Exchange Server 5.5, так как Exchange 2000 Server поддерживает работу c AD. Microsoft разрешает обновлять Exchange 2000 Server до Exchange Server 2003 на месте. Это не означает, что можно просто положить в привод установочный диск Exchange Server 2003 и установить приложение поверх существующей структуры Exchange 2000 Server безо всякого планирования н подготовки в соответствии с другими требованиями. Однако, если выполнить все предварительные требования, то Exchange Server 2003 можно будет установить поверх существующей версии Exchange 2000 Server.
Перед тем как начинать обновление, необходимо рассмотреть несколько вопросов. Например, Exchange Server 2003 не поддерживает определенные функции, существовавшие в Exchange 2000 Server, так как некоторые возможности Exchange Server 2003 были перенесены в другие продукты, например в операционную систему Windows Server 2003 и службы Microsoft Mobile Information Services. Поддержка коннекторов Lotus cc:Mail и Microsoft Mail более не осуществляется, так как эти продукты устарели. Если какие- либо из перечисленных компонентов установлены на компьютер с Exchange 2000 Server, который вы планируете обновить, и вы считаете, что эти компоненты необходимо сохранить, сначала их следует перенести на другие серверы, а затем удалить с обновляемого сервера при помощи программы установки Exchange 2000 Server:
служба Instant Messaging Service;
служба Microsoft Chat Service;
служба Key Management Service;
коннектор Micros。优 Exchange для Lotus cc:Mail;
коннектор Microsoft Mail.
Помимо удаления компонентов, не поддерживаемых Exchange Server 2003, необходимо выполнить следующие требования к операционной системе и серверу Exchange 2000 Server:
Exchange 2000 Server с пакетом обновлений SP3 или более поздним;
Windows 2000 Server с пакетом обновлений SP3 или более поздним;
установить версию Exchange Server 2003 на том же языке, что и существующий сервер Exchange 2000 Server;
обновить внешние (front-end) серверы до обновления соответствующих внутренних (back-end) серверов;
обновить все существующие коннекторы ADC до версии Exchange Server 2003.
Когда все предварительные требования будут выполнены, запустите утилиты ForestPrep и Domain Prep, как и при установке Exchange Server 2003 в новой организации или присоединении к су шествую шей организации Exchange Server 5.5. Чтобы разрешить обновление Exchange 2000 Server до Exchange Server 2003, необходимо внести определенные обновления в схему. Это делает утилита Forest Prep. Domain Prep выполняет несколько
задач, включая создание групп безопасности Exchange Domain Severs (Серверы домена Exchange) и Exchange Enterprise Servers (Серверы предприятия Exchange) и контейнера Microsoft Exchange System Objects (Системные объекты Microsoft Exchange), используемого для общих папок с адресом электронной почты.
Так как вы осуществляете обновление существующего компьютера Exchange 2000 Server на месте, перед тем как приступать к установке Exchange Server 2003, следует выполнить дополнительные подготовительные задачи. Это гарантирует беспроблемную установку Exchange Server 2003, а если по каким-либо причинам неполадки все же возникнут, вы сможете их устранить,
Удалите содержимое папки \Exchsrvr\Maiiroot\vsi l\BadMail. Программа установки Exchange Server 2003 обрабатывает все ACL во всех папках Exchange Server. Если в папке Bad Mail много сообщений, то программа установки может работать намного дольше, чем обычно.
Проверьте и изучите все используемые дополнительные программы для Exchange Server сторонних производителей, например антиэирусное ПО или программы фильтрации спама. Убедитесь, что программы сертифицированы для Exchange Server 2003 млн, как минимум, что производители поддерживают установку данных продуктов на Exchange Server 2003.
Сделайте полную резервную копию Exchange и всех его баз данных н проведите тестовое восстановление на другой сервер, чтобы удостовериться» что резервная копия не повреждена. Если во время обновления на месте произойдет сбой, вам, вероятно, придется переустановить сервер Exchange 2000 Server с пакетом обновлений SP3 н после этого восстановить базы данных из архива. Стоит заметить, что базы данных, созданные в Exchange 2000 Server, можно восстановить в Exchange Server 2003, м при этом Exchange Server 2003 просто исправит базы в соответствии с требованиями новой версии. Однако в обратную сторону этот процесс не работает. Восстановить базы данных Exchange Server 2003 на сервере, где установлен Exchange 2000 Server, невозможно.
Убедитесь, что во время обновления не запущены никакие программы, связанные с Exchange Server, например Exchange System Manager (Диспетчер системы Exchange)*
Перед запуском программы установки вручную остановите службы дополнительных программ сторонних производителей.
После того как все подготовительные задачи будут выполнены, можно запустить программу установки с установочного компакт-диска Exchange Server 2003 и выбрать вариант обновления. Во время обновления программа остановит основные службы Exchange 2000 Server, поэтому вам, конечно же, следует заранее запланировать это время простоя. В это время Exchange Server не будет доступен пользователям. При обновлении Exchange 2000 Server до Exchange Server 200 3 добавить компоненты или каким- либо образом настроить установку невозможно. Exchange Server 2003 будет установлен с теми же компонентами, которые входят в действующую версию Exchange 2000 Server. После завершения работы программы установки можно запустить ее еще раз и по необходимости добавить компоненты.
Переход с Exchange 2000 Server на новую организацию
Exchange Server 2003
Для переноса существующей организации Exchange 2000 Server в новую организацию Exchange Server 2003 используется мастер Exchange Migration Wizard (Мастер миграции Exchange). Процесс схож с переносом организации Exchange Server 5.5, но есть несколько отличий. Если в вашей сети серверы Exchange Server 2003 не поддерживаются при помощи A DC, то адм и нистративная сторона переноса учетных записей пользователей из одного домена AD в другой несколько упрощается. Для проведения этого процесса используется утилита Active Directory Migration Tool (Миграция в Active Directory), н вам не приходится задумываться о соблюдении однозначных отношений между учетными записями пользователей AD н почтовыми ящиками Exchange Server, так как Exchange 2000 Server накладывает те же строгие ограничения, что м Exchange Server 2003.
Для того чтобы использовать ЛсГ/ve Directory Migration Tool (Миграция в Active Directory), необходимо выполнить многие из требований, предъявляемых к процессу переноса организации Exchange Server 55 Вы должны иметь адм и н и страти вн ые полномонн” в исходном и целевом доменах, а между доменами должно быть установлено двустороннее доверие. Совместное использование утилиты Active Directory Migration Tool (Миграция в Active Directory) и мастера Exchange Migration Wizard (Мастер ми грации Exchange) позволяет сначала перенести учетные записи пользователей с SID н паролями, а затем данные почтовых ящиков и автоматически связать почтовые ящики с правильными учетными записями пользователей.
Альтернативный способ переноса Exchange 2000 Server подразумевает использование только мастера Exchange Migration Wizard (Мастер миграции Exchange), который создает в целевом домене новые отключенные учетные записи пользователей, если не может сопоставить существующую учетную запись пользователя почтовому ящику. После этого вам необходимо включать учетные записи пользователей и настраивать их для использования соответствующих почтовых ящиков.
Лабораторная работа. Обновление Exchange Server 5.5 и Exchange Server 2000
В этой лабораторной работе вы при помощи утилиты Active Directory Migration Tool (Мшрация в Active Directory) перенесете существующий домен AD в домен в другом лесу. После этого при помоши мастера Exchange Migration Wizard (Мастер миграции Exchange) вы перенесете организацию Exchange Server 5.5 в существующую организацию Exchange Server 2()03 в другом лесу.
Эта лабораторная работа основывается на упражнениях из главы 4, поэтому в вашей среде уже должны быть установлены следующие серверы:
Server。】，установленный в качестве контроллера домена под управлением Windows 2000 Server в домене litwareinc.com. На этом сервере должен быть установлен Exchange Server 5.5 в организации Litwareinc, и его необходимо подключить к AD при помощи коннектора ADC версии Exchange Server 2003;
Server02, установленный как сервер под управлением Windows Server 2003 в домене litwareinc.com. На этом сервере должен быть установлен Exchange Server 2003 в организации Litwarcinc и настроена служба Site Replication Service, обеспечивающая репликацию с ServerOl.
Помимо этого, вам потребуется:
■ ServerOS, установленный в качестве контроллера домена Windows Server 2003 в домене fabrikam.com. Установите Exchange Server 2003 в новую организацию с именем Fabrikam.
Упражнение 1. Настройка доверия между доменами, участвующими в миграции
На сервере ServerOl откройте консоль Active Directory Domains And Trusts (Active Directory — домены и доверие). Правой кнопкой мыши щелкните litwareinc.com и н контекстном меню выберите Properties (Свойства).
Перейдите на вкладку Trusts (Доверия). Рядом с пунктом Domains Trusted By This Domain (Домены, которым доверяет этот домен) щелкните кнопку Add (Добавить).
Введите Fabrikam, затем в качестве пароля введите 123 и подтвердите пароль.
Повторите шаги 1—3 на сервере ServeгОЗ, но в качестве домена введите Litwareinc,
На сервере Server03 щелкните Add (Добавить) рядом с пунктом Domains That Trust This Domain (Домены, которые доверяют этому домену). Введите Litwareinc и задайте пароль. Когда появится сообщение с просьбой проверить доверие, введите параметры безопасности для учетной записи Litwareinc Administrator.
Повторите процесс на сервере ServerOl, настроив параметр Domains That Trust This Domain (Домснм, которые доверяют этому домену) для домена Fabrikam.
На сервере ServerOl при помощи консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры) добавьте учетную запись пользователя Fabrikam \Administrator в группы безопасности Schema Admins (Администраторы схемы), Enterprise Admins (Администраторы предприятия) н Domain Admins (Администраторы домена) s домене Utwareincxom.
На сервере ServeгОЗ при помощи консоли Active Directory Users And Computers (Active Directory — пользователи н компьютеры) добавьте учетную запись Litwnrei门с\ Administrator в те же группы в домене fabrikam.com.
Упражнение 2. Перенос учетных записей Active Directory
при помощи утилиты Active Directory Migration Tool
L На сервере Server02 запустите программу \I386\Admt\Admigration.msi с установочного компакт-диска Windows Server 2003. Выполните инструкции мастера по установке утилиты Active Directory Migration Too! (Миграция в Active Directory).
В дисковод А: вставьте дискету. Откройте командную строку и введите ad mt key litwareinc a:\
На дискете будет создан файл .pes, используемый для переноса паролей вместе с информацией учетных записей пользователей.
Переместите файл .pes на контроллер домена, ServerOl. Запишите его в папку C:\Pes. В данном контексте сервер ServerOl называется сервером эксп орт ировани я паролей (Password Export Server).
Установите файл библиотеки Password Migration на сервере ServerOl, запустив программу \I386\Admt \Pwdmig\Pwdmig.ехе с установочного компакт-диска Windows Server 2003.
Когда появится соответствующее сообщение, выберите в мастере установки файл .pes в папке C:\Pes.
После завершения процесса мастер установки попросит перезагрузить сервер* Для этого щелкните №§ (Да).
Снова войдя в систему на сервере ServerOl, запустите утилиту Regedit и измените следующий ключ реестра: HLM\System\CurrentContro!Set\Control\LSA\Allow- Password Export.
Измените значение DWORD AllowFasswordExport с 0 на 1, чтобы разрешить экспорт, закройте утилиту редактирования реестра и еще раз перезагрузите сервер Serveг01.
На сервере Serveг02 запустите утилиту Active Directory Migration Tool (Миграция в Active Directory). Выберите пункт меню Start\Ail Programs\Administrative Tbols\Active Directory Migration Tool (Пуск\Все программы\Администрирование\Мигация в Active Directory).
Правой кнопкой щелкните на консоли Миграция в Active Directory Migration Tool (Active Director}) и в контекстном меню выберите пункт User Account Migration Wizard (Мастер миграции учетных записей пользователей),
Выберите Test The Migration And Migrate Later (Протестировать параметры миграции и запустить ее позднее) и щелкните Next (Далее).
Как показано на рис. 5-1, э качестве исходного домена выберите Litwareinc, в качестве целевого домена выберите Fabrikam и шелкните Next (Далее).
Рис. 5-1. Выбор исходного и целевого доменов длл проведения миграции
Следующий шаг заключается в добавлении выбранных для переноса учетных записей пользователей в AD. Щелкните Add (Добавить); откроется стандартная страница
Find (Найти). Здесь можно ввести имена пользователей вручную или щелкнуть Advanced (Дополнительно), а затем Find Now (Поиск), чтобы получить полный список пользователей, как показано на рис. 5-2. Выбрав нужные учетные записи пользователей, щелкните ОК, и вы увидите список пользователей, которые будут перенесены, показанный на рис. 5-3.
Рис. 5-2» Перечисление всех учетных записей пользователей в контейнере Пользователи в Active Directory
Рис. 5-3. Добавление учетных записей пользователей для проведения миграции
Выбрав учетные записи пользователей, которые вы хотели бы перенести, щелкните ОК, затем щелкните Next (Далее). Откроется сообщение с просьбой указать целевое подразделение для миграиии. Вероятно, удобнее всего использовать контейнер Users (Пользователи) в целевом домене, но можно выбрать любое подразделение. Например, можно создать подразделение Litwareinc в домене FabNkam и поместить в него все перемещаемые объекты из домена Litwareinc. Щелкните Browse (Обзор), выберите подразделение и щелкните ОК. Как показано на рис, 5-4, мастер создает путь Lightweight Directory Access Protocol (LDAP) к целевому подразделению. Для продолжения щелкните Next (Далее).
U&er Account MigratkHi Wizard
Otganizolional Uhil Selection
The oganizaliondl unit (OU] you enler ie used as the target
Ptease enter the dcslngitshed name of the target OU.
IlDAP/"%匕ria。t・：「■£'• =「「jrdmrnDC=r«“
《Rack 「• 11axl!>Су»«< j Hdp
Рис. 5-4. Выбор целевого подразделс!Еия
На рис, 5.5 показана страница мастера Password Options (Параметры паролей). По умолчанию выбран параметр Complex Passwords (Сложные пароли), позволяющий создавать для перемещенных учетных записей пользователей пароли, отвечающие требованиям к сложности Windows Server 2003* Помимо этого, можно задать создание паролей, совпадаюших с именем пользователя. Однако мы уже подготовили файл паролей» поэтому выберите вариант Migrate Passwords (Миграция паролей) и в раскрывающемся списке Password Migration Source DC (Исходный контроллер домена для миграции паролей) выберите ServerO 1, Для продолжения щелкните Next (Далее).
Утилита Active Directory Migration Tool (Миграция в Active Directory) проверит настройки миграции и н случае обнаружения ошибок вннаст предупреждение. Напрн- мер, если в настройках домена вы ограничили доступ ко встроенной группе PreWindows 2000 Compatible Access (пред-Windows 2000 доступ), мастер сообщит, что группа Everyone (Все) должна быть членом этой группы Можно исправить эту ошибку и повторить попытку.
Следующий шаг заключается в определении параметров миграции учетных записей, как показано на рис. 5-6. В данном случае можно вьючить целевые устные записи в целевом сайте, так как вы осуществляете перенос учетных записей пользовате-
Рис. 5-5. Миграция паролей
Рис. 5-6. Страница Параметры миграции учетных записей
лей с уже существующими паролями. Вариант отключения целевых учетных записей следует выбирать, если перенос паролей нс осуществляется и необходимо отключить учетные записи до момента, когда они действительно понадобятся, или запретить пользователям входить в систему до завершения переноса их почтовых ящиков. Параметр Target Same As Source (Состояние конечных записей такое же, как состояние исходных) позволяет сохранить в целевом домене исходное состояние учетных записей пользователей (включена или отключена). Другими словами, если учетная запись была включена в исходном домене, то она будет включена и в целевом.
6 Зак, 45n
Помимо этого, можно настроить параметры исходных учетных записей. Отключите .исходные учетные записи, чтобы пользователи могли сразу же начать использовать новые учетные записи после завершения миграции. Если необходимо, задайте количество дней, по истечении которого учетные записи перестанут действовать.
Последний параметр на этой странице определяет, будут ли в целевой домен переноситься идентификаторы SID учетных записей пользователей. Если вы переносите пароли, то рекомендуется включить и этот параметр, чтобы сохранить все настройки таблицы управления доступом для учетной записи.
Если вы не включили аудит в исходном домене, но включили параметр переноса SID пользователей, мастер попросит вас перед продолжением процесса включить аудит. Шелкнитс \es (Да). Также можно щелкнуть К§ (Да), чтобы включить аудит в целевом домене.
Помимо прочего, для переноса SID требуется наличие особой локальной группы вида Исходныи_домен $ $ $. Мастер выдаст сообщение о том, что группа Litwareinc$3$ не существует, и спросит, следует ли ее создать автоматически. Щелкните Yes (Да).
Осталось задать последний параметр — ключ реестра TCPipClientSupport в исходном домене. Щелкните \&§ (Да), чтобы задать ключ. После этого потребуется перезагрузить сервер ServerOl. После этого можно будет продолжить работу с мастером.
Следующий шаг заключается в настройке параметров пользователя в целевом домене (см. рис. 5-7)* Можно перенести перемещаемый профиль пользователя, обновить его права пользователя, перенести связанные группы пользователей и исправить членство в группах. Если необходимо, можно задать способ переи\тенования учетных записей» Для продолжения щелкните Next (Далее).
Рис. 5-7. Настройка параметров пользонателей
2L Теперь настройте необходимые исключения свойств объектов, как показано на рис. 5-8. После этого щелкните Next (Далее),
Рис. 5-8. Настройка исключений свойств объектов
На следующем шаге необходимо решить, как во время миграции должны обрабатываться конфликты именования. Страница мастера Naming Conflicts (Конфликты имен) показана на рис. 5-9. Можно выбрать один из нескольких вариантов решения конфликтов: игнорировать конфликтующие учетные записи и не переносить их, заменять целевые учетные записи исходными или переименовывать исходные учетные записи в целевом домене. Оставьте значение по умолчанию и щелкните Next (Далее).
Рис. 5-9. Настройка решения конфликтов именования
Итак, вы ввели всю необходимую информацию. Щелкните Finish (Готово), чтобы открыть страницу Migration Status (Состояние миграции), где ход процесса отражав ется в реальном времени. После завершения миграции щелкните View Log (Просмотр
журнала) и просмотрите содержимое текстового файла журнала, созданного маете* ром. Так как вы выбрали вариант проверки настроек миграции, а не фактическое проведение процесса, это было всего лишь тестовое исполнение, н учетные записи не переносились. Запустите мастер User Account Migration Wizard (Мастер миграции учетных записей пользователей) второй раз, чтобы выполнить миграцию.
Упражнение 3. Перенос почтовых ящиков при помощи мастера Exchange Migration Wizard
На сервере Serve гОЗ щелкните кнопку Start\All Programs'Microsoft Exchange、 Deployment\Migration Wizard (Пуск\Все программы\М)сго$оЙ ЕхсЬап§е\Развертыва- ние\Мастер миграции). На странице приветствия щелкните Далее (Next).
Щелкните Migrate From Microsoft Exchange (Мигрировать c Microsoft Exchange), затем щелкните Next (Далее).
Мастер попросит подтвердить, что в организации Exchange Server, которую вы хотите переместить, включен протокол LDAR Щелкните Next (Далее).
4* Как показано на рис, 5-10, выбернте целевое расположение. Мастер автоматически подставит Server03 в поле Server (Сервер) н его хранилище почтовых ящиков в поле Information Store (Хранилище). Также можно выбрать миграцию в файлы .psi, но сейчас следует оставить все параметры по умолчанию. Щелкните Next (Далее).
Рис. 5-10. Выбор целевого места расположения миграции
На странице Source Exchange Server (Исходный сервер Exchange), показанной на рис. 5-И, выберите исходный сервер Exchange. ПотенциалbHWNf вопросом здесь может быть измененный номер порта LDAP в исходной организации Exchange Server 5,5. В главе 4 мы изменили значение по умолчанию 389 на 1389. Если же у вас используется порт LDAP по умолчанию, просто введите имя сервера. Однако если вы все же изменили порт LDAP, то после имени сервера поставьте двоеточие и напишите новый номер порта. Введите ServerOI: 1389, затем заполните поля
Administrator Account (Учетная запись администратора) и Password (Пароль) н щелкните Next (Далее).
Рис, 5-11. Выбор исходного сервераРис, 5-11. Выбор исходного сервера
Рис, 5-11. Выбор исходного сервера
Рис, 5-11. Выбор исходного сервера
[Exchange Server Mlgrabon Wizard[Exchange Server Mlgrabon WizardСтраница Migration Information (Сведения о миграции) показана на рис. 5-12. Здесь можно выбрать, какие данные необходимо перенести. Выберите параметр Create/ Modify Mailbox Accounts (Создание или изменение учетных записей почтовых ящиков). Еще один вариант — настроить фильтр, позволяющим перенести сообщения только за определенный период времени или не переносить сообщения с заданным заголовком, Шелкните Next (Далее).
[Exchange Server Mlgrabon Wizard
[Exchange Server Mlgrabon Wizard
Migration InltHmelton
Choose Ihe 7огтд1юп you want to migrate.
-Mailbox Account* 口 [Oeale/rnodify mailbox account^ -Message Fihei
厂 Migrate mail mes^egee within a date Jang
Da*eRenge-1空7,2雌心:[>方力2随
f- Do not migrate nW messages with speciHc subfecU
.Subjecl.Uit File. |'Brow де.
< Back Next > I Cancel | Help
Рис. 5-12. Настройка переноса сообщений
Теперь на странице Account Migration (Миграция учетных записей), показанной на рис. 5-13, выберите, какие учетные записи следует перенести. Так как вы уже перенесли всю информацию учетных записей пользователей при помощи утилиты Active Directory Migration Tool (Миграция в Active Directory), здесь вы не будете переносить учетные записи. Однако выбрать учетные записи все же необходимо, так как к ним привязаны почтовые ящики. Щелкните Select АП (Выделить все), затем щелкните Next (Далее), Мастер Migration Wizard (Мастер миграции Exchange) будет создавать новые учетные записи, только если не сможет сопоставить почтовый ящик четной записи в целевом домене.
Рис. 5-13. Настройка параметров переноса учетных записей
Для целевых учетных записей выберите контейнер Users (Пользователи) и щелкните Next (Далее).
Теперь мастер Migration Wizard (Мастер миграции Exchange) полностью готов к проведению миграции. Для запуска процесса щелкните Next (Далее). Вы сможете наблюдать за ходом миграции в реальном времени. После завершения процесса щелкните Finish (Готово) и при помощи консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры) проверьте, что учетные записи и почтовые ящики существуют.
Занятие 2. Настройка Exchange Server 2003 для взаимодействия с другими системами обмена сообщениями
Помимо возможности настроить взаимодействие с предыдущими версиями Exchange Server 2003, Exchange Server 2003 можно использовать совместно с почтовыми системами других производителей, не Microsoft. Это очень полезно, например, если вы планируете перевести среду UNIX на Windows и AD н вам необходимо реализовать поддержку существующей почтовой системы, пока вся структура не будет полностью переведена на Exchange Server 2003. Для соединения Exchange Server 2003 с другими почтовыми системами можно использовать различные коннекторы, обеспечивающие взаимодействие систем до полного завершения перехода.
Изучив материал этого занятия, вы сможете:
/ настроить Exchange Server 2003 для взаимодействия с Lotus Notes;
/ настроить Exchange Server 2003 для взаимодействия с X.400-совместимыми системами обмена сообщениями.
Продолжительность занятия — около 60 минут.
Настройка Exchange Server 2003 для обеспечения взаимодействия с Lotus Notes
Одна из наиболее распространенных систем обмена сообщениями не от Microsoft — это Lotus Notes. В состав Exchange Server 2003 входит Connector for Lotus Notes (коннектор для Lotus Notes), позволяющий настроить синхронизацию этих двух систем обмена сообщениями. В целом, данный коннектор аналогичен коннектору Active Directory (ADC), предназначенному для синхронизации AD с каталогом Exchange Server 2003. В данном случае, однако, коннектор Lotus Notes используется для синхронизации AD с каталогом Lotus Notes,
Для того чтобы получить возможность использовать коннектор для Lotus Notes, необходимо установить его с компакт-диска с дистрибутивом Exchange Server 2003, выполнив следующие действия:
На сервере ServeгОЗ еще раз запустите программу Setup, чтобы открыть Microsoft Exchange Installation Wizard (Мастер установки Microsoft Exchange),
На странице выбора компонентов выберите вариант Change (Изменить) для компонента Microsoft Exchange Messaging And Collaboration (Пересылка сообщений и совместная работа).
Выберите Install (Установить) для коннекторов Connector For Lotus Notes и Microsoft Exchange Calendar Connector.
Выполните инструкции мастера для завершения установки компонентов.
После того как коннектор Connector for Lotus Notes будет установлен, можно настроить его при помоши Exchange System Manager (Диспетчер системы Exchange). Сделайте следующее:
На сервере Server03 откройте Exchange System Manager (Диспетчер системы Exchange). Способ перехода к пункту Connectors зависит от того, отображаются ли Routing Groups (группы маршрутизации). Если группы маршрутизации не отображаются, то контейнер Connectors (Коннекторы) находится отдельно от корневого имени организации. Если группы маршрутизации отображаются, перейдите к контейнеру Routing Groups (группы маршрутизации), разверните группу First Routing Group (первая группа маршрутизации) и перейдите к контейнеру Connectors.
Правой кнопкой мыши щелкните Connector for Lotus Notes (коннектор для Lotus Notes) н в контекстном меню аыберите Properties (Свойства).
Для настройки коннектора Lotus Notes используйте параметры на вкладках этого диалогового окна. Первая вкладка, General (Общие), показана на рис. 5-14. Здесь необходимо указать имя сервера Notes [параметр Notes Server пате (Сервер Lotus Notes)I, а также можно задать место расположения файла Notes.ini, имя почтового ящика коннектора н способ обработки ссылок Notes DocLinkc. Введите имя сервера и перейдите на вкладку Address Space (Адресное пространство).
[rowHxtpr 2 IphiW Ro>es tSWWWQA) f*Ep^ttkf.「;；.-，
l№C№rit«H4r« ] CwgOrtGorUl*» | Advvud ] GeUk G*»^ I M*c»Spa» I Ойииу R«iiicbcn» | 跳加Epboru
:! Согнк^и Ни Сам N с*и ISEWE 叩蜀
f*oi« 9«*ft
Ha« INt lie but вл.
|C\WNKT\n(ii|«,in-I
Ссплес^маАхж
jmkvigc<bo« Poing *v at
O»wl Ntftt Dodjrkt Io,
二 口工 [■ ежа» J — I нн>
Рис. 5-14. Настройка общих параметров
На вкладке Address Space (Адресное пространство) настраивается общее пространство адресов электронной почты, которое будет использоваться при взаимодействии Exchange Server 2003 и Lotus Notes. Здесь также можно указать, будет ли коннектор охватывать всю организацию или только определенную группу маршрутизации* Этот параметр необходимо настраивать, только если у вас существует несколько групп маршрутизации, в противном случае область применения коннектора всегда одна и та же. Создайте адресное пространство SMTP, действующее на * (то есть, на все), как показано на рис. 5-15.
Рис. 5-15. Настройка адресного пространства
Теперь перейдите на вкладку Import Container (Контейнер для импорта), показанную на рнс. 5-16. Для импортирования учетных записей Notes выберите контейнер Users (Полыователи). По умолчанию, если импортируется почтовый ящик, не имеющий учетной записи Windows, то в AD создается новый контакт. Однако можно изменить это поведение, выбрав создание новой учетной записи пользователя, включенной или отключенной*
Рнс. 5-16. Настройка контейнера для импортирования
Перейдите на вкладку Export Containers (Контейнер для экспорта). Здесь можно настроить экспортирование групп или контактов из любого подразделения AD в каталог Notes, а также задать экспортирование нескольких контейнеров. Добавьте контейнер Users (Пользователи), как показано на рис. 5-17, и перейдите на вкладку Advanced (Дополнительно).
Рис. 5-17. Настройка контейнеров для экспортирования
На вкладке Advanced (Дополнительно), показанной на рис. 5・18, задается способ обработки почты. Можно настроить параметры маршрутизации сообщений, определяющие, через какие домены должен прокладывать маршрут коннектор, а также почтовый ящик маршрутизатора н вид сообщений. Помимо этого, здесь задается ограничение на размер письма. Добавьте в список маршрутизируемых доменов fabrikamxom^ затем перейдите на вкладку Dirsync Options (Параметры синхронизации).
Рис. 5-18. Настройка дополнительных параметров
На вкладке Dirsync Options (Параметры синхронизации), показанной на рис. 5-19, можно настроить несколько параметров синхронизации, например расписание и адресную книгу, и здесь же выполнить синхронизацию из Exchange в Notes или из Notes в Exchange. Можно сразу же синхронизировать весь объем данных или
только обновить данные (то есть сбросить настройки расписания и синхронизировать только изменения, внесенные с момента последней синхронизаиии).
Рис. 5-19. Настройка синхронизации каталога
Последние необходимые нам настройки находятся на вкладке Delivery Restrictions (Ограничения доставки), показанной на рис. 5-20. Здесь можно задать полномочия на использование коннектора: разрешить передачу данных через коннектор всем пользователям или предоставить доступ только определенным пользователям и группам. Закончив, щелкните ОК.
Рис. 5-20. Настройка ограинченнй доставки
Коннектор Lotus Notes описывает синхронизацию каталога для почты и информации учетных записей, но он не синхронизирует между Exchange Server и Notes информацию календаря. Для этого необходимо настроить коннектор Microsoft Calendar, сделав следующее:
Правой кнопкой мыши шелкните Calendar Connector (Коннектор Microsoft Calendar) в контейнере Connectors (Коннекторы) и в контекстном меню выберите Properties (Свойства). Первая вкладка ——General (Общие) — показана на рис. 5-21. Сначала настройте коннектор, который будет использоваться для импортирования пользователей в AD. Щелкните Modify (Изменить) и выберите Connector For Lotus Notes (Коннектор Lotus Notes). На зтоП вкладке также можно изменить максимальное количество дней хранения информации о свободном/занятом времени, максимальное время хранения (в минутах) сторонней информации о свободном/занятом времени, в течение которого ее можно использовать без опроса календаря Notes, и максимальное время (в секундах) ожидания ответа на запросы. Настроив нужные параметры, перейдите на вкладку Calendar Connections (Подключения).
Р“& 5«21. Настройка общих параметров коннектора Microsoft Calendar
Чтобы создать новое подключение для календаря, шелкните Add (Добавить), затем щелкните Lof us Notes, затем OK
Как показано на рис. 5-22, необходимо указать сервер Notes и системный путь к файлу настроек Notes.ini. Введите необходимые сведения и щелкните ОК.
Перейдите на вкладку Schedule (Расписание). Здесь настраивается расписание синхронизации данных календаря. Это стандартное расписание, такое же, как вы настроили для ADC.
Другой тип коннектора, входящий в состав Exchange Server 2003,——это Connector for Novell GrouplVise, и его настройка ничем нс отличается от настройки коннектора Lotus Notes. Как и с Notes, подключение для синхронизаиии календаря необходимо настроить отдельно от синхронизации почты и учетных записей.
Рис. 5-22. Настройка типа подключения для календаря
Настройка Exchange Server 2003 для взаимодействия с Х.400-совместимыми системами обмена сообщениями
Существуют и используются два основных стандарта передачи электронных сообщений между сторонними системами. Самый популярный — стандарт SMTP, с которым знакомы большинство пользователей. Второй стандарт — Х.400, менее распространенный в Соединенных Штатах, но довольно популярный в Европе и Канаде. Х.400 — это система, основанная на стандартах, поддерживающая иерархическую структуру адресации. Если адрес SMTP имеет формат узел@домен, то адрес Х.400 задается в формате ^с=страна;а=административный домен управления;р=личный домен управления^—ор- ганизация；8=фамилия^—имя». Адрес SMTP ChrisMeyer^L/7wreinc.cот в формате Х.400 выглядел бы так: c=USA;a=;p=LlTWARElNC;o=LITWAREINC;s=Meyer;g^Chris
Все версии Exchange Server поддерживают стандарт Х.400, а в Exchange Server 5.5 стандарт Х.400 использовался для внутренней обработки и передачи всех сообщений. С Exchange Server 5.5 вам совершенно не нужен был адрес SMTP, если только вы не обменивались сообщениями с почтовыми системами на базе SMTR например по Интернету.
В Exchange Server 2003 можно настроить коннектор Х.400, позволяющий устанавливать соединение с любыми Х.400-совместимыми системами обмена сообщениями. У коннектора Х.400 два основных предназначения. Во-первых, он используется для подключения к системам обмена сообщениями на базе Х.400, не поддерживающим никакие другие протоколы, имеюшисся в Exchange Server 2003. Во-вторых, при помощи этого коннектора можно устанавливать соединение с сайтами Exchange Server по ненадежным каналам. Обычно для подключения групп маршрутизации Exchange Server 2003 используется коннектор сайтов, но если канал ненадежный, то можно использовать коннектор Х.400* предназначенный для передачи сообщений и не требующий надежного и постоянного соединения.
Настройка коннектора Х.400 осуществляется посредством утилиты Exchange System Manager (Диспетчер системы Exchange). В отличие от коннекторов Lotus Notes н Novell GroupWise, никакие дополнительные компоненты устанавливать не требуется. Перед тем как приступать к настройке коннектора Х.400, в контейнере Protocols (Протоколы) на желаемом сервере необходимо создать транспортный стек Х.400. Он представляет
собой транспорт, обеспечивающий работу коннектора Х.400. В Exchange Server 2003 предусмотрены три различных типа транспорта Х.400:
TCP/IP Х・400 Service Transport Stack Обеспечивает интерфейс для подключения систем обмена сообщениями Х.400 по стандартному протоколу Transmission Control Protocol/]nternet Protocol (TCP/IP);
X.25 X.400 Service Transport Stack Обеспечивает интерфейс для подключения к системам Х.400 Х,25-совместимых устройств;
RAS Обеспечивает интерфейс для использования службы удаленного доступа (Remote Access Service, RAS) по телефонному соединению. Этот параметр доступен, только если на сервере установлена служба RAS.
После выбора типа транспортного стека для коннектора Х.400 можно настроить сам коннектор Х.400 для работы с этим транспортным стеком. Это также делается в Exchange System Manager (Диспетчер системы Exchange): правой кнопкой мыши щелкните контейнер Connectors (Коннекторы)* в контекстном меню выберите New (Создать) и щелкните желаемый тип коннектора Х.400. Для настройки коннектора предназначены параметры на нескольких вкладках, так же. как и для настройки коннектора Lotus Notes. Если вы настраиваете соединение с системой Х,400, не являющейся системой Exchange Server, то вам необходимо получить всю информацию о системе на противоположном конце соединения, а администратору той системы потребуется информация от вас. Синхронизацию необходимо настроить на обоих концах коннектора Х.400, поэтому обычно это проделывается совместными усилиями администраторов почтовых систем.
Лабораторная работа. Настройка Exchange Server 2003 для взаимодействия с прочими системами обмена сообщениями
В этой лабораторной работе вы настроите локальную часть коннектора Х.400, предна- знаменного для соединения Exchange Server 2003 с системой другого типа для обмена сообщениями на основе Х.400. Выполните эти задачи на сервере Server03. Если это еще не сделано, включите отображение групп админкстрирования (Administrative Groups) и групп маршрутизации (Routing Groups).
Упражнение 1. Создание транспортного стека Х.400
Откройте Exchange System Manager (Диспетчер системы Exchange) и перейдите к Server03.
Z Разверните содержимое ServerO3 и щелкните контейнер Protocols (Протоколы).
Правой кнопкой мыши щелкните Х.400、в контекстном меню выберите New (Создать) и щелкните TCP/IP Х.400 Service Transport Slack (Транспортный стек TCP/IP Х.400).
В диалоговом окне Properties (Свойства), показанном на рис. 5-23, вы увидите имя по умолчанию. Настраивать информацию адреса OSI (раздел OSI Address Information) не нужно, поэтому просто щелкните ОК.
Разверните контейнер Routing Groups (Группы маршрутизации), затем группу First Routing Group (Первая группа маршрутизации). Правой кнопкой мыши щелкните
Рис. 5-23. Настройка нового транспортного стека TCP/IP Х.400
контейнер Connectors (Коннекторы), в контекстном меню выберите New (Создать) и щелкните TCP/IP Х4О0 Connector (Коннектор TCP/IP Х.400),
На вкладке General (Общие), показанной на рис. 5-24, укажите для коннектора понятное имя* Также необходимо выбрать имя Х.400 удаленной системы. Эту информацию вам предоставит администратор системы Х.400, с которой устанавливается соединение. Щелкните Modify (Нзменнть); вы увидите экран Remote Connection
Рис. 5・24. Настройка общих параметров для коннектора Х.400
Credentials (Учетные данные удаленного подключения), показанный на рис. 5-25. Здесь необходимо ввести имя н пароль для удаленной системы Х.400. Пароль предназначен для того, чтобы посторонние пользователи не могли создать соединение с этой системой.
Рис. 5-25. Настройка имени удаленной системы Х.400 и ввод пароля
Щелкнув вкладку Schedule (Раскисание), вы увидите обычный экран настройки расписания. Значение по умолчанию ——Always Update (Обновлять всегда), но можно настроить обновление в желаемое время, если системы соединены ненадежным подключением, стоимость подключения зависит от времени суток или существуют другие причины.
Теперь перейдите на вкладку Stack (Стек). Можно указать либо имя DNS удаленного узла Х.400, либо IP-адрес (Internet Protocol). Эта информация зависит от конфигурации транспортного стека Х.400 удаленного узла и должна совпадать с ними, чтобы соединение работало. Введите [P-адрес и перейдите на вкладку Override (Пе・ рекрытие).
На вк^чадке Override (Перекрытие) можно настроить параметры, относящиеся к коннектору Х.400, в ситуации, когда один транспортный стек Х.400 используют несколько коннекторов. Если коннектор Х.400 один, то настраивать ничего не нужно, так что просто перейдите на вкладку Address Space (Адресное пространство).
Эта вкладка Address Space (Адресное пространство) идентична аналогичной вкладке, которую вы уже видели при настройке коннектора Lotus Notes. Добавьте адресные пространства доя определения типа и формата адресов» используемых для передачи сообщений через коннектор. Создайте адресное пространство, соответствующее удаленной системе.
Перейдите на вкладку Advanced (Дополнительно). На этой вкладке, показанной на рис. 5-26, необходимо настроить параметры соединения и сообщений. Если системой Х.400 на противоположном конце соединения является система Exchange Server, установите флажок Allow Exchange Contents (Разрешить формат Exchange), чтобы отправлять сообщения в встроенном формате Exchange Server 2003 Message Database Encapsulated Format (MDBEF). Если вы настраиваете соединение с системой Х.400, не являющейся системой Exchange Server, сбросьте этот флажок; сообщения будут отправляться в стандартном формате Х.400,
Рис. 5-26. Настройка расширенных параметров сообщений
Перейдите на вкладку Content Restrictions (Ограничения на содержимое). На этой вкладке, показанной на рис, 5-27, можно ограничить типы н размер сообщений, передаваемых через коннектор. По умолчанию никакие ограничения не задаются, поэтому при необходимости вы можете задать собственные ограничения.
Рис. 5-27. Настройка ограничений содержимого
На этом настройка вашей стороны коннектора Х.400 завершена. Если вы настраиваете подключение к другой группе маршрутизации Exchange Server, то перейдите на вкладку Connected Routing Groups (Под!С1юченные группы маршрутизации) и введите информацию о целевой группе маршрутизации или сайте Exchange Server 5.5. После настройки удаленной стороны подключения Х.400 можно начинать передачу сообщений через коннектор.
Занятие 3. Миграция с прочих систем обмена сообщениями
Хотя очень важно уметь осуществлять переход с предыдущих версий Exchange Server на Exchange Server 2003, одинаково важно уметь заменять и другие системы передачи сообщений. Существует множество причин, почему вам может понадобиться перевести свою организацию с одного продукта на другой. Одна из наиболее распространенных ситуаций — это слияние или приобретение компаний, когда возникает необходимость перенести все системы на одну платформу, а не поддерживать две различные платформы передачи сообщений. Перейти с большинства сторонних систем на Exchange Server 2003 относительно просто.
Изучив материал этого занятия, вы сможете:
/ при помощи мастера Migration Wizard осуществить переход с других систем обмена сообшеииями на Exchange Server 2003,
П родолжител ьность занятия — около 45 минут.
Использование мастера Migration Wizard для перехода с прочих систем обмена сообщениями
В первом занятии вы при помощи мастера Migration Wizard (Мастер миграции Exchange) перевели организацию Exchange Server 5.5 на Exchange Server 2003. Однако мастер Migration Wizard (Мастер миграции Exchange) поддерживает и переход с некоторых других систем обмена сообщениями. В действительности, в мастере Migration Wizard (Мастер миграции Exchange) предусмотрены следующие варианты:
Import From Migration Files (Импорт нз файлов миграции) Используйте этот вариант для импортирования файлов миграции, которые создаются, если выбрать во время миграции только параметр Extract Migration Files (Создать файлы миграции);
Migrate From Microsoft Mail for PC Networks (Миц)ация c Microsoft Mail для сетей PC Networks) Используйте этот вариант для переноса пользователей Microsoft Mail оя сетей PC Networks, почты и данных расписания прямо из почтового отделення Microsoft Mail;
Migrate From Microsoft Exchange (Миграция c Microsoft Exchange) Этот вариант предназначен для переноса почтовых ящиков из организации Exchange 2000 Server или более поздней версии или из сайта Exchange Server 5.5 в организацию Ех- change 2003;
Migrate From Lotus cc:Mail (Миграция c Lotus Mail) Используйте этот вариант для переноса почтовых ящиков пользователей, сообщений, черновиков, вложений, папок, персональных списков рассылки и служб BBS Lotus cc:Mail прямо из почтового отделения cc:Mail;
Migrate From Lotus Notes (Миграция c Lotus Notes) Этот вариант предназначен для переноса пользователей, почты н расписаний с серверов Lotus Notes и Domino;
Migrate From Novell GroupWise 4.x (Миграция c Novell GroupWise 4.x) Используйте этот вариант для переноса пользователей, почты и расписаний из почтовых отделений Novell GroupWse 4.x;
Migrate From Novell GroupWise 5.x (Миграция c Novell GroupWise 5.x) Этот вариант предназначен для переноса пользователей, почты н расписаний из почтовых отделений Novell GroupWise 5.用
Migrate From Internet Directory (LDAP through ADSI) (Миграция с Интернет-катал ora) Используйте этот вариант для переноса информации учетных записей почты из LDAP-совместимого Интернет-каналога в AD;
Migrate From Internet Mail (IMAP4) (Миграция с 1МАР4-совместимой системы) Этот вариант предназначен для переноса сообщений из [МАР4-соаместимых систем обмена сообщениями в почтовые ящики пользователей Exchange.
Переход на Exchange Server 2003 с любых систем обмена сообщениями выполняется по тем же базовым правилам, что и миграция Exchange Server 5.5 на Exchange Server 2003, Необходимо аккуратно запланировать миграцию: удостовериться, что учетная запись, с которой будет осуществляться процесс, обладает адм и н истрати эн ым и полномочиями в исходном и целевом доменах, что служба DNS настроена правильно, и все участвуюшие серверы могут без ошибок обмениваться сообщениями, и что вы заранее выбрали целевые контейнеры для переноса учетных записей.
При переносе учетных записей пользователей важно заранее выбрать способ их обработки в целевом домене. Если вы осуществляете миграцию домена Windows NT 4 или AD в другой домен AD* то можно запланировать перенос учетных записей пользователей, существующих паролей и идентификаторов SID. Это упростит перенос почтовых ящиков. В случае, если для проведения миграции используется только мастер Migration Wizard (Мастер миграции Exchange), необходимо запланировать, как в целевом домене будут настраиваться пароли, так как мастер не поддерживает перенос существующих паролей.
Вероятно, наиболее важным аспектом миграции любого вида является проведение работы с пользователями. С технической точки зрения миграция может быть проведена без единого сбоя, но если вы заранее не предупредите пользователей об изменениях, то после этого будете получать множество жалоб от растерянных пользователей, не имеющих возможности обратиться к своей электронной почте привычным способом. Следовательно» необходимо убедиться, что в план миграции включена подготовка пользователей к неизбежному простою системы, ответы на вопросы и решение возможных проблем.
Большую часть процесса миграции занимает планирование, и как только вы будете готовы к переходу с одной системы обмена сообщениями на другую, проведите процесс при помощи мастера Migration Wizard (Мастер миграции Exchange). Сначала выполните тестовую миграцию, позволяющую проверить, будет ли миграция в реальных условиях проведена без ошибок, и в случае возникновения ошибок исправьте их еще до фактического выполнения миграции. Если тестовая миграция прошла без ошибок, выберите время, когда миграция менее всего повлияет на работу пользователей, и выполните переход на Exchange Server 2003.
凰IПрактикум по устранению проблем
В этом практикуме вы попытаетесь перенести почтовые ящики в организации Litwarc, Inc. с сервера ServerO 1 на сервер Serveг02 при помощи мастера Migration Wizard (Мастер миграции Exchange)* Процедуру провести не удастся, так как мастер поддерживает только миграцию между организациями, но не в пределах одной организации. После этого вы переместите почтовые ящики при помощи консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры).
Перед тем как приступать к выполнению этих заданий, необходимо выполнить все требования к системе, перечисленные в начале главы*
Упражнение 1. Попытка перенести почтовые ящики при помощи мастера Migration Wizard
L На сервере Serveг02 запустите мастер Migration Wizard. Выберите пункт меню Start\All Programs'Microsoft Exchange\Dcployment\Migration Wizard (Пуск\Всс программы、 Microsoft Exchange\Pa3BepTbiBaHHe\MacTep миграции Exchange).
На странице приветствия щелкните Next (Далее).
Выберите вариант Migrate From Microsoft Exchange (Миграция c Microsoft Exchange) и щелкните Next (Далее).
На следующей странице с предупреждением о миграции из другой организации Exchange Server щелкните Next (Далее).
На странице Migration Destination (Целевой сервер миграции) обратите внимание, что сервер ServerO? был выбран автоматически. Щелкните Next (Далее).
6* На странице Source Exchange Server (Исходный сервер миграции) введите ServerOI: 1389 и введите информацию об учетной записи Администратор (Administrator), Щелкните Next (Далее).
Обратите внимание на сообщение об ошибке (миграцию осуществить невозможно). Закройте окно мастера Migration Hazard (Мастер миграции Exchange).
Упражнение 2. Перенос почтовых ящиков при помощи консоли Active Directory — пользователи и компьютеры
На сервере ServerO 1 откройте консоль Active Directory Users And Computers (Active Directory — пользователи и компьютеры).
Щелкните контейнер Users (Пользователи), чтобы увидеть список всех учетных записей пользователей.
Выберите только пользователей Amy Alberts, Chris Meyer и Eli Bowen. Правой кнопкой мыши щелкните пользователя Eli Bowen и в контекстном меню выберите Exchange Tasks (Задачи Exchange),
В списке задач Exchange выберите Move Mailbox (Переместить почтовый ящик) и щелкните Next (Далее),
Переместите почтовые ящики на сервер Serveг02.
ГЛАВА 6
Установка кластеров, внешних и внутренних серверов Microsoft Exchange Server 2003
Занятие 1.
Установка Exchange Server 2003 в кластерной среде
152
Занятие 2.
Управление кластером Exchange Server 2003
166
Занятие 3.
Установка Exchange Server 2003 в конфигурации
с внешними и внутренними серверами
175
Темы экзамена
Подготовка среды для развертывания Microsoft Exchange Server 2003.
Установка, настройка и устранение неполадок Exchange Server 2003 в кластерной среде.
Управление, мониторинг и устранение неполадок кластеров Exchange Server.
Управление и устранение неполадок внешних и внутренних серверов*
Мониторинг» управление и решение проблем производительности среды.
В этой главе
Системы обмена сообщениями зачастую являются критическим сетевым компонентом, обеспечивающим работу организации. Таким образом, минимизация времени простоя серверов электронной почты является одной из наиболее приоритетных задач сетевого администратора. Для компаний, требующих исключительной производительности и надежности, Exchange Server 2003 поддерживает установку в кластерах серверов н NLB-кластерах (кластерах с балансировкой сетевой нагрузки), которые за счет избыточности аппаратных ресурсов гарантируют практически 100% безотказную работу приложений. Еще одно преимущество Exchange Server 2003, позволяющее максимизировать производительность, — это поддержка архитектуры внешних и внутренних
серверов, с которой вы познакомились в главе 3 «Настройка ннфраструктурь】 Microsoft Exchange Server 2003*.
Эта глава посвящена организациям Exchange Server, перед которыми стоит задача поддержки тысяч пользователей, и самой сложной серверной архитектуре, изо всех, с которыми мы уже познакомились. Важно уметь работать с Exchange Server 2003 в промышленной кластерной среде, поддерживающей тысячи пользователей, так же комфортно, как и в небольшой среде с одним сервером, в которой работают лишь несколько десятков человек.
Прежде всего
Для выполнения упражнений в этой главе вам потребуется следующее оборудование и программное обеспечение:
два сервера Microsoft Windows Server 2003, установленных в домене AD с именем tailspintoysxom. Сервер ServerOl должен быть контроллером домена, а сервер Server02 — рядовым сервером. На сервер ServerOl необходимо установить две сетевые платы；
Exchange Server 2003, Enterprise Edition.
Занятие 1. Установка Exchange Server 2003 в кластерной среде
Кластеризация серверов ——это одна из наиболее распространенных техник обеспечения избыточности аппаратного и программного обеспечения для таких приложений, как Exchange Server 2003. Создав кластер, вы гарантируете, что в вашей системе не будет единой точки сбоя серверного обрудования, которая может привести к полному отклю- ченгю служб электронной почты. Кластеризация также позволяет отключить один узел для проведения технических работ (например, для перезагрузки после установки пакета обновлений или для добавления какого-либо оборудования), в то время как другие узлы продолжат обслуживать запросы клиентских компьютеров.
Кластеризация не защищает от неэффективного сетевого администрирования и неудачно настроенного программного обеспечения, и этот прием не защитит серверы от разрушения в случае катастрофы, например наводнения и торнадо. Однако правильно настроенные кластеры серверов Windows Server 2003 могут существенно повысить надежность служб Exchange Server
Иэучив материал этого занятна, вы сможете:
/ понять основы технологий Network Load Balancing и Microsoft Cluster Service;
/ понять, как Exchange Server 2003 поддерживается службой Microsoft Cluster Service;
/ установить Exchange Server 2003 на кластер серверов Windows Server 2003,
Продолжительность занятия - около 90 минут*
Network Load Balancing и Microsoft Cluster Service
Примечание В этом занятии в общем виде рассматриваются кластерные технологии и их связь с развертыванием Exchange Server 2003, но оно не предназначено для использования в качестве полноценного руководства по планированию и внедрению. Кластеризация в реальной сети требует тщательного планирования ресурсов и намного сложнее, чем может показаться из этого занятия- Перед тем как начинать развертывание кластерной технологии в промышленной среде, мы рекомендуем вам воспользоваться дополнительными ресурсами, например Microsoft Windows Server 2003 Resource Kit.
Microsoft поддерживает два типа кластеризации, предоставляя собственные кластерные технологии: Network Load Balancing (балансировка сетевой нагрузки) и Microsoft Cluster Service (кластеры серверов). Это может оказаться несколько непривычно для ИТ-профессионалов, не знакомых с определенными аспектами каждой технологии. Цель обеих технологий — гарантировать, что сбой физического сервера нс приведет к тому, что сетевая служба или приложение станет недоступным клиентским компьютерам, но реализуется эта цель обеими технологиями по-разному.
Network Load Balancing
Первая кластерная технология ——Network Load Balancing (балансировка сетевой нагрузки) доступна в любой версии Windows Server 2003. Network Load Balancing настраивается при помощи утилиты Network. Load Balancing Manager., расположенной в меню Administrative Tools (Администрирование). Она работает в качестве драйвера Microsoft Windows и распределяет входящие запросы по всем узлам кластера. NLB-кластер может содержать от 2 но 32 узлов. Основная цель NLB состоит в балансировке нагрузки путем распределения трафика TCP/IP по всем серверным узлам, входящим в кластер* Со стороны клиентских компьютеров кластер кажется единым ресурсом, обращение к которому осуществляется по одному IP-адресу (но в то же время у каждого узла есть собственный уникальный IP-адрес). Однако несмотря на то, что кластер представляется единым ресурсом, приложения устанавливаются на каждом узле по отдельности. Например, если на вашем кластере, состоящем из четырех серверов, работает Exchange Server 2003, то приложение Exchange Server 2003 установлено на каждый серверный узел. Если приложения поддерживают балансировку нагрузки, как, например, Exchange Server 2003, то при сбое или отключении одного узла нагрузка автоматически распределяется по остальным узлам в кластере. Когда серверный узел возобновляет работу он автоматически продолжает функционировать в качестве одной из составляющих кластера без какого-либо дополнительного вмешательства.
Примечание Стоит заметить, что Network Load Balancing не осуществляет «кластеризацию» в традиционном смысле этого слова, хотя и считается кластерной технологией. Традиционный кластер, о котором мы поговорим позже в этой главе, включает несколько систем, работающих как единый блок, поддерживают и й полное восстановление после отказа.
Примечание Network Load Balancing также поддерживается Windows 2000 Advanced Server, Windows 2000 Datacenter Server и Windows NT 4 Advanced Server Функциональность Network Load Balancing в предыдущих версиях серверов Windows несколько отличается от версии для Windows Server 2003. В этой главе мы будем рассматривать только кластеризацию в Windows Server 2003.
Благодаря своему дизайну и функциям Network Load Balancing хорошо подходит для масштабирования 佻Ь- и FTP-приложений» то есть приложений, предоставляющих службы, которые должны быть постоянно доступны и готовы справиться с большими объемами трафика.
По умолчанию Network Load Balancing работает в режиме Unicast, что означает, что кластер в сети представляется в качестве узла с одним физическим IP-адресом, и все узлы обладают одним сетевым МАС-адресом. Также можно настроить Network Load Balancing для работы в режиме Multicast, позволяющем отображать каждый кластерный узел в сети с собственным МАС-адресом и IP-адресом. У каждого режима свои преимущества и недостатки, зависящие от вашей сетевой среды и специфических требований.
Преимуществом технологии Network Load Balancing по сравнению c Microsoft Cluster Service является то, что для поддержки многоузлового кластера не требуется особое оборудование. В следующем разделе этой главы вы познакомитесь с технологией Microsoft Cluster Service, требующей, чтобы в многоузловой среде использовались специальные общие ресурсы. Кластер, основанный на Network Load Balancing, может состоять из типичных серверов, на каждом из которых может быть установлен один или несколько сетевых адаптеров. Помимо этого, Network Load Balancing поддерживает кластеры, состоящие мз сервсрон с рахчичными ОС Windows Server, напрнмер, его могут составлять узел с Windows 2000 Advanced Server и с Windows Server 2003, Enterprise Edition.
Еще одним преимуществом Network Load Balancing является тот факт, что серверы не обязательно должны быть членами домена, что позволяет использовать эту технологию на внешних серверах периметра сети, передающих данные на внутренние серверы, защищенные брандмауэром.
Network Load Balancing поддерживает работу с серверами, на которые установлена только одна сетевая плата, однако использование двух сетевых плат дает особые преимущества. Это не только повышает надежность отдельных серверов, но и позволяет осуществлять коммуникацию между узлами кластера в режиме по умолчанию Unicast, Так как узлы кластера используют общий 1 P-адрес и МАС-адрес, по умолчанию они не могут обмениваться данными друг с другом. Второй сетевой адаптер позволяет настроить между кластерными узлами частную сеть, позволяющую осуществлять коммуникацию.
Работа Network Load Balancing основывается на концепции периодической провер* кн соединения (heartbeat), то есть сетевые пакеты отправляются каждым узлом кластера каждую секунду. Если один из узлов кластера отключается от сети, он перестает передавать такие пакеты. По умолчанию, через пять секунд (пять пропущенных пакетов) оставшиеся узлы кластера инициируют процесс конвергенции, заключающийся в удалении нс отвечающего сервера. При этом входящие клиентские запросы перенаправляются для обработки на другие узлы. Недостатком этого метода является то, что служба Network Load Balancing не может определить момент, когда на сервере выключается
определенная служба, она «понимаете только ситуации, когда не отвечает сам сервер. Из-за этого трафик может направляться на сервер, который не в состоянии обслужить запрос.
Еще один недостаток использования Network Load Balancing заключается в томт что эта технология поддерживает только протокол TCP/IP. Это не представляет проблемы в большинстве сетей, но может превратиться в серьезный вопрос в сетях, использующих другие протоколы, например NWLink.
Microsoft Cluster Service
Microsoft Cluster Service (служба кластеризации, позволяющая создавать кластеры серверов) —это вторая кластерная технология, входящая в состав Windows Server 2003. В целом, она схожа с технологией Network Load Balancing. В частности, данная служба тоже проверяет состояние узлов кластера при помощи концепции периодической проверки (heartbeat), и кластер представляется клиентским компьютерам как единый сетевой ресурс. Однако между Microsoft Cluster Service и Network Load Balancing есть одно существенное отличие: Microsoft Cluster Service поддерживает работу с прикладными службами, то есть может отслеживать состояние приложений, а не только самого сервера. Помимо этого, к устройствам хранения, входящим в кластер, предъявляются особые требования. Следующие устройства не поддерживаются:
диски IDE;
программные RAID-массивы;
динамические тома;
точки подключения/подключенные тома;
шифрующая файловая система (Encrypting File System);
удаленные хранилища.
Кластеры серверов, использующие технологию Microsoft Cluster Service, можно настраивать в соответствии с одним из трех типов кластерной конфигурации:
Single Node server clusters (Кластеры серверов с одним узлом) Мо*но настроить с внешними кластерными устройствами хранения или без них. Для серверных кластеров Single Node без внешних кластерных устройств хранения локальный диск настраивается в качестве кластерного устройства хранения.
Single Quorum Device server clusters (Кластеры серверов с одним устройством кворума) Состоит из двух или более узлов, настроенных так, чтобы каждый узел был подключен к одному или нескольким общим устройствам хранения, например внешнему массиву дисков Small Computer Symm Interface (SCSI). Данные конфигурации кластера хранятся на одном кластерном устройстве хранения, называемом кворумыым устройством (quorum device).
Majority Node Set server clusters (Кластеры серверов с набором узлов большинства) Состоит из двух или более узлов, но узлы могут быть подключены или не подключены к одному или нескольким кластерным устройствам хранения. Данные конфигурации кластера хранятся на нескольких дисках, входящих в состав кластера, а служба Microsoft Cluster Service гарантирует единообразность этих данных среди всех дисков.
Для серверных кластеров с одним устройством кворума и с набором узлов большинства используются разные способы настройки службы Microsoft Cluster Service. Способ настройки кластера зависит от ваших требований к отказоустойчивости (failover), то есть процессу переноса служб приложения на другой узел в кластере в случае отказа сервера. Восс танооение после сбоя (tailback) определяет» как службы приложения перемещаются обратно на исходный серверный узел после возобновления его работы. Поддерживаются следующие режимы работы Windows Server 2003:
Перемещение при сбое между парой уэлов в кластере с N узлами (№node failover Pairs) В этом режиме отказоустойчивость приложений настраивается только между двумя определенными парами серверов.
Резервный сервер /N+l (N+I Hot-Standby Server) Этот режим зачастую называют активно-пассивным (Active/Passive). В этом режиме в кластере, состоящем из двух узлов, только активный узел обрабатывает все пользовательские запросы, в то время как пассивный узел наблюдает за работой активного узла. Если на активном узле происходит сбой, то основным узлом кластера становится пассивный узел, который начинает обрабатывать все клиентские запросы. N+【обозначает возможность масштабирования модели на кластеры с большим количеством уалов, состоящие из N активных узлов и I пассивных узлов. Эта модель менее популярна среди адм инистраторов, так как в пан ном случае большое количество ресурсов большую часть времени простаивает, включаясь в работу только в случае сбоя другого сервера. Тем не менее, данная модель обеспечивает наилучшую масштабируемость и надежность.
Отказоустойчивое кольцо (Failover Ring) Этот вариант часто называют активноактивным режимом (Active/Active). В данной модели все серверные узлы являются активными и обслуживают клиентские запросы. Если на узле происходит сбой, кластер переоючает службу на другой активный узел. В кольце отказоустойчивости порядок передачи служб заранее задается адм и н и страторо м.
Произвольный (Random Failover) Эта модель схожа с кольцом отказоустойчивости и также представляет собой активно-активный вариант. Однако в данной моделиt если на узле происходит сбой, то его служба передается на другой активный узел, выбранный случайным образом. Благодаря случайному выбору необходимость вручную определять п осл ед о вател ьн ость передачи отпадает.
Для работы службы Microsoft Cluster Service необходима ОС Windows Server 2003, Enterprise Edition или Windows Server 2003, Datacenter Edition. Поддерживаются кластеры, включающие до восьми узлов, однако если узлов в кластере больше двух, то на все должна быть установлена одна и та же версия операционной системы. В отличие от Network Load Balancing, использовать разные версии операционных систем в пределах кластера нельзя. Однако в кластере, состоящем из двух узлов, может использоваться комбинация Windows 2000 Advanced Server, Windows 2000 Datacenter Server, Windows Server 2003, Enterprise Edition и Windows Server 2003, Datacenter Edition.
В отличие от Network Load Balancing, Microsoft Cluster Service поддерживает управление приложениями и службами, что означает, что она может осуществлять мониторинг на уровне службы, а не только проверять общую работоспособность сервера. Это позволяет использовать Microsoft Cluster Service для приложений баз данных, например Microsoft SQL Server и Exchange Server.
Серверы, на которых работает Cluster Service, должны быть членами домена. Это требование делает данную службу более подходящей для использования на внутренних серверах в пределах брандмауэра, чем на внешних серверах периметра сети.
К настройке сети для Microsoft Cluster Service предъявляются более строгие требования, чем к Network Load Balancing, На узлы кластера серверов должны устанавливаться два или более сетевых адаптера, и они должны быть подключены, как минимум, к двум локальным сетям (Local Area Network, LAN). Это необходимо для того, чтобы сеть не становилась уязвимой точкой кластера, а также потому что Microsoft Cluster Service использует для обмена данными между узлами кластера внутреннюю частную сеть, а для коммуникации с обслуживаемыми клиентскими компьютерами — внешнюю общую сеть. Также можно настроить смешанную сеть, предназначенную для передачи трафика и общей, и частной сетей. Зачастую сетевые адаптеры настраиваются командами, то есть несколько адаптеров программно соединяются так，чтобы работать в качестве единого блока, обладающего одннм МАС-адресом и одним IP-адресом. В случае, если несколько сетевых адаптеров объединены в команды, необходимо настроить, по меньшей мере, один сетевой адаптер вне сети: этот адаптер будет использоваться для обмена данными между серверными узлами. Помимо этого, все серверные узлы кластера должны принадлежать одной IP-подсети как частной, так и общей сети. Рекомендуется, чтобы на всех серверных узлах кластера были установлены сетевые адаптеры одного производителя и модели.
Серверные узлы, использующие Microsoft Cluster Service, могут быть как контроллерами домена, так и рядовыми серверами, но обязательно должны входить в один домен. Помимо этого, Microsoft Cluster Service требует, чтобы в домене использовалось минимум два сервера Domain Name System (DNS). Если вы создадите кластер из двух узлов, и эти узлы будут единственными серверами в домене, то они оба должны быть DNS-сервсрами, причем каждый должен быть для себя основным DNS-сервером, а противоположный — дополнительным DNS-сервером.
Exchange Server 2003 и кластеризация
Ясно, что и Network Load Balancing, и Microsoft Cluster Service позволяют не только сушественно повысить готовность серверов, но м сделать их намного более надежными, чем в типичной конфигурации с одним сервером. Однако, так как эти технологии отвечают разным целям, важно выбрать подходящую для вашего кластера Exchange Server 2003.
Внимание! Для настройки кластера у вас должна быть установлена версия Exchange Server 2003, Enterprise Edition. Невозможно использовать технологии кластеризации Windows с версией Exchange Server 2003, Standard Edition* Кластеризация доступна только в Windows Server 2003, Enterprise Edition и Windows Server 2003, Datacenter Edition.
Основной фактор в пользу выбора Network Load Balancing — эта технология не требует никакого особого оборудования; вам не потребуется устанавливать внешнее общее устройство хранения для кластера. Главным преимуществом Microsoft Cluster Service является тот факт, что» в отличие от Network Load Balancing, проверяющей серверы только по технологии heartbeats, эта служба поддерживает мониторинг отдельных при-
ложений, поэтому в случае сбоя службы ее можно перенаправить на другой узел. Обычно именно этот фактор становится основным критерием выбора, так как для достаточно больших организаций, планирующих реализовать кластерную технологию, необходимость в обеспечении отказоустройчивости при остановке служб Exchange Sene г превышает затраты на обтне внешние устройстаа хранения; Таким образом, для Exchange Server 2003 рекомендуется создавать кластеры серверов, а не NLB-кластеры.
Важно отметить, что Microsoft Cluster Service не балансирует нагрузку на приложения, как это делает Network Load Balancing, так как данная технология предназначена для выполнения других задач, В кластерах с использованием Microsoft Cluster Service обеспечивается отказоустойчивость приложений в случае сбоя узлов. В кластерах с Network Load Balancing отказоустойчивость не гарантируется, а в случае сбоя одного узла поток трафика просто перенаправляется на активный узел. Помимо этого, Microsoft Cluster Service разрабатывалась для совместной работы с приложениями баз данных, предназначенными для кластеризации, например SQL Server или Exchange Server. Такая логика, как, например, разбиение хранилища почтовых ящиков на несколько кластерных узлов, просто невозможна, учитывая структуру Exchange Server. Можно вручную распределить нагрузку, поместив службы на различные узлы кластера, но в Microsoft Cluster Service службы представляют собой единую сущность.
Активно-активные и активно-пассивные кластеры Exchange Server 2003
Существуют дополнительные вопросы, которые следует рассмотреть при использовании Cluster Service с Exchange Server 2003, Рекомендуется использовать активно-пассивную модель кластера, так как размер активно-активных кластеров в Exchange Server 2003 ограничивается двумя узлами. Еще одно ограничение активно-активных кластеров состоит в том, что они поддерживают максимум 1900 одновременных клиентских подключений. Активно-пассивные кластеры удобнее масштабировать: они могут содержать до восьми узлов. Помимо этого, активно-пассивные кластеры в целом более надежны, так как в случае сбоя обработка запросов перенаправляется на ожидающий узел, а не на узел, уже работающий с пользовательскими запросами.
Exchange Server 2003 поддерживает активно-активную конфигурацию для всех компонентов, за исключением одного: агента передачи сообщений (Message Transfer Agent, МТА). МТА — это служба Exchange Server 2003, предназначенная для управления соединениями между Exchange Server 2003 и Х.400-совместимыми системами обмена сообщениями, а также управления коннекторами и шлюзами, созданными на базе Exchange Development Kit. МТА всегда работает в активно-пассивном режиме; в любой момент в кластере может работать только один экземпляр службы МТА. Служба МТА создается на первом сервере кластера, и последующие серверы становятся пассивными по отношению к ней. Если на сервере, где работает МТА, происходит сбой, служба передается на другой узел.
Кластерные компоненты Exchange Server 2003
Exchange Server 2003 представляет собой приложение, поддерживающее кластеризацию, поэтому при установке в кластере компоненты автоматически настраиваются соответствующим образом. Устанавливается файл библиотеки Exres^dll, позволяющий осуществлять коммуникацию со службой Microsoft Cluster Service. Exchange Server 2003 использует кластерные группы Windows Server 2003, содержащие кластерные ресурсы, такие
как IP-адреса и другие сетевые настройки. Устам а вл ивается виртуальный сервер Exchange Server 2003т содержащий такие кластерные ресурсы, как IP-адрес, ресурсы физических дисков и службу Exchange System Attendant, которая, в свою очередь, устанавливает другие необходимые службы Exchange Server 2003.
Примечание «Виртуальный сервера в кластере —— это не то хе самое, что виртуальный сервер IR предоставляющие службы, например Post Office Protocol 3 (POP3), Simple Mail Transport Protocol (SMTP), Hypertext Transfer Protocol (HTTP), Outlook Web Access (O\^A) и другие, в Exchange Server 2003, Виртуальные серверы IP рассматриваются в главе 9 «Виртуальные серверы». По отношению к кластеризации виртуальный сервер — это экземпляр приложения, настроенный на узле кластера, который использует кластерные ресурсы, перечисленные в предыдущем абзаце*
Сетевые компоненты
Обычная установка кластера Exchange Server 2003, состоящего из двух узлов, включает общую сеть, которую клиента используют для подключения к виртуальным серверам Exchange Server 2003, м частную сеть для обмена данными между узлами в пределах кластера. У типичного кластера с двумя узлами есть, по меньшей мере, семь IP-адресов и пять имен NetBIOS, причем предполагается использование следующей конфигурации:
у каждого серверного узла кластера два статических IP-адреса (1Р*адреса для под- оючения к общей и частной сетям каждого физического рядового сервера) и одно имя NetBIOS;
у самого кластера есть статический IP-адрес и имя NetBIOS;
у каждого виртуального сервера Exchange Server 2003 есть статический 1 P-адрес и имя NetBIOS.
Внимание! Настоятельно рекомендуется использовать частную кластерную сеть и статические IP-адреса при любом развертывании кластера Exchange Server 2003. Хотя можно развернуть кластерную среду, используя для назначения и обновления IP-адресов кластерных узлов только общую сеть или протокол Dynamic Host Configuration Protocol (DHCP), такой вариант не рекомендуется. Использование DHCP приводит к появлению уязвимой точки, так как в случае, если DHCP-сервер не сможет обновить общие IP-адреса, клиенты не смогут подключиться к кластеру. Это приведет к сбою всего кластера. Помимо этого, если произойдет сбой общей сети, серверные узлы не смогут обмениваться данными друг с другом, и в результате в случае сбоя серверного узла кластерные ресурсы не будут перенесены на другой узел.
Дисковые компоненты
Самый важный диск кластера — это диск» являющийся кворумным дисковым ресурсом. На кворумном дисковом ресурсе хранятся данные настройки кластера, и он представляет собой постоянное физическое хранилище на случай сбоя системы. Так как конфигурация кластера хранятся на этом диске, все узлы кластера должны иметь возмо*-
ность обмениваться информацией с узлом, владеющим этими данными. Чтобы удовлетворить данным требованиям, диск должен быть совместно используемым внешним ресурсом, к которому можно физически подключить каждый узел. Ресурс, владеющий общим внешним диском, который в кластере используется в качестве кворумного, должен быть физически подключен к общей шине и доступен со всех узлов кластера.
На кворумном диске текущая версия базы данных с конфигурацией сервера хранится в форме журналов восстановления и файлов контрольных точек реестра. В этих файлах записаны независимые от узлов сведения о конфигурации и состоянии. При присоединении узла или образовании кластера Microsoft Cluster Service обновляет частную копию базы данных конфигурации на этом узле. Если узел присоединяется к существующему кластеру, то служба Microsoft Cluster Service получает данные конфигурации с других активных узлов. Служба Microsoft Cluster Service использует журналы восстановления с кворумного диска для того, чтобы:
гарантировать, что в качестве кластера может работать только один набор активных обменивающихся данными узлов;
разрешать узлу формировать кластер, только если он может получить управление кворумным дисковым ресурсом;
разрешать узлу присоединяться или оставаться в существующем кластере, только если он может обмениваться информацией с узлом, контролирующим кворумный ресурс.
Разрешения
Чтобы создать кластер Exchange Server 2003, учетная запись пользователя должна обладать определенными разрешениями. Во-первых, эта учетная запись должна иметь возможность администрировать кластер» что означает, что она должна быть членом локальной группы Adminisirarors (Администраторы) на серверных узлах кластера, где будет установлен Exchange Server 2003. Чтобы создать первый виртуальный сервер Exchange Server 2003, учетная запись пользователя должна обладать разрешениями Exchange Full Administrator (Полный администратор Exchange) на уровне организации. Для создания дополнительных виртуальных серверов Exchange Server 2003 учетная запись пользователя должна обладать разрешениями Exchange Full Administrator (Полный администратор Exchange) на уровне административной группы, к которой принадлежат серверные узлы.
Группы хранения
Труппы хранения (подробнее о них в главе 7 «Управление объектами получателей и списками адресов») используются в Exchange Server 2003 для созданиях нескольких хранилищ почтовых ящиков и обтнх папок для специфических административных нужд. Хранилища почтовых ящиков ——это базы данных, содержащие почтовые ящики, а храншшща общих папок, соответственно, — базы данных, содержащие обшие папки. Exchange Server 2003, Enterprise Edition поддерживает на одном сервере до четырех групп хранени；!. Это может стать серьезным вопросом для рассмотрения в кластерной среде, так как в случае сбоя серверного узла другой узел, на который будут перенесены ресурсы первого, должен иметь возможность справиться с дополнительными ресурсами. Например, если на сервере ServerOl три группы хранения, а на сервере Server02 — две группы хранения» то в случае, если на ServerOl произойдет сбой. Serveг02 не сможет
подключить все группы хранения сервера ServerO 1» так как при этом будет превышен лимит в четыре группы. Следовательно, в кластере, состоящем из двух узлов, на каждом из виртуальных серверов Exchange Server 2003 должно быть не более двух групп хранения, хотя максимальное разрешенное количество — четыре.
Установка Exchange Server 2003 в кластере
Windows Server 2003
Процесс установки Exchange Server 2003 в кластере схож с другими видами установки, с которыми вы уже знакомы. Однако перед тем как начинать установку необходимо подготовить узлы кластера серверов Windows Server 2003. Помимо этого, после установки Exchange Server 2003 на узлах кластера следует выполнить дополнительные шаги по созданию виртуальных серверов Exchange Server 2003.
Когда кластер Windows Server 2003 будет настроен, выполните FbrestPrep и DomainPrep так же. как при установке на один сервер, с полномочиями того же уровня. После этого установите Exchange Server 2003 на каждый узел кластера. Когда установка будет завершена, можно будет приступать к настройке виртуальных серверов Exchange Server 2003 при помощи консоли Cluster Administrator (Администратор кластеров). В конце этого занятия вы на практике настроите кластер, установите Exchange Server 2003 на первый узел и при помощи Cluster Administrator (Администратор кластеров) настроите виртуальный сервер Exchange Server 2003.
Для обновления существующего кластера до Exchange Server 2003 используется метон, известный под названием rolling upgrade (поочередное обновление). При этом ресурсы одного из серверных узлов вручную передаются на другой узел, после чего первый узел обновляется, а после обновления на него снова возвращаются службы. Благодаря такому способу обновления кластер никогда полностью не отключается и в процессе продолжает обслуживать клиентские запросы. Узлы обновляются по очереди, а не все за один раз. Для того чтобы обновить предыдущую версию Exchange Server до Exchange Server 2003, необходимо выполнить все требования, предъявляемые к обновлению одиночных серверов, которые перечислены в главе 5 «Миграция с Microsoft Exchange Server и других почтовых систем».
Лабораторная работа. Установка Exchange Server 2003 в кластерной среде
В данной лабораторной работе вы настроите кластер Windows Server 2003, состоящий из одного узла, и установите в кластере Exchange Server 2003. Это позволит установить Exchange Server 2003 в кластере, используя один сервер, и вам не потребуется настройка внешнего общего диска. В реальном мире такая конфигурация может использоваться для тестирования кластерных приложений перед развертыванием их в промышленной среде.
Упражнение 1. Настройка кластера Windows Server 2003
Перед тем как начать, необходимо назначить два сетевых адаптера, установленных на ссрнсре ServerOl, двум различным 1Р^подсетям. Если вы устанавливаете ServerOl в су- шествуюшей сети, используйте IP-адрес из этой сети для сетевого адаптера, предназначенного для обшей сети. Для адресов кластерного узла в частной сети используйте
отдельный диапазон частных IP-адресов, например 192*168,1.0/24, 176.16.1.0/24 или 10.1.1.0/24. На ServerO 1 также потребуется установить второй физический диск, отформатированный для файловой системы NTFS и без данных. Он будет использоваться в качестве кворумного диска.
Чтобы открыть консоль Cluster Administrator^ щелкните кнопку Start (Пуск), затем Administrative Tools (Администрирование) н Cluster Administrator (Администратор кластеров). Служба Microsoft Cluster Service устанавливается в Windows Server 2003 автоматически, но по умолчанию она не настроена,
Откроется консоль Cluster Administrator (Л/шинистратор кластеров), и вам будет предложено выбрать кластерное соединение. Так как пока что кластер не существует, щелкните раскрывающийся список и выберите пункт Create New Cluster (Создать новый кластер). Щелкните ОК.
Откроется окно New Server Cluster Wizard (Мастер создания кластера)t и на странице приветствия, показанной на рис. 6-1, будут перечислены компоненты, необходимые для создания кластера. Для продолжения щелкните Next (Далее).
Рис. 6-1. Создание нового кластера
Все узлы кластера должны принадлежать одному домену, и домен, в котором запускается Cluster Administrator (Мминистратор кластеров), автоматически подставляется в соответствующее поле. На странице Cluster Name And Domain (Имя кластера и домен), показанной на рис. 6-2, необходимо ввести имя кластера. Затем щелкните Next (Далее).
Следующий шаг заключается в выборе сервера, который станет первым узлом кластера. По умолчанию будет выбран сервер, с которого запушена программа, но, если необходимо, можно выбрать другой сервер. Щелкните Advanced (Дополнительно), и вы увидите, что по умолчанию новый кластер создастся с обычной конфигурацией [параметр Typical (Обычная)], но можно выбрать конфигурацию Advanced (Дополнительная). Закройте эту страницу, не внося никаких изменений, и щелкните Next (Лалее) для продолжения процесса.
Рис. 6-2. Выбор нменн и домена для кластера
Далее откроется страница Analyzing CoiiHguration (Анализ конфигурации), показанная на рис. 6-3. Мастер анализирует конфигурацию сервера, чтобы определить, все ли условия соблюдены. Галочка рядом с компонентом указывает, что он прошел проверку. Символ предупреждения обращает ваше внимание на возможные проблемы. В данном случае мастер не смог найти общее внешнее дисковое устройство, которое можно было бы использовать в качестве кворума, и поэтому использоваться будет локальный кворумный диск. Можно получить дополнительные сведения или же, не закрывая мастер, исправить ошибку и повторить анализ. Щелкните Next (Далее).
Рис. 6-3. Анализ конфигурации кластера
7 3】м450
Теперь необходимо назначить кластеру IP-адрес, который будет использоваться для управления кластером. Выберите IP-адрес, уникальный в общей сети, и щелкните Next (Далее).
Следующий шаг заключается в определении учетной записи службы кластера (Cluster Service Account), Создайте учетную запись службы для Microsoft Cluster Service в консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры h выполнив действия, перечисленные в главе 2 «Планирование инфраструктуры Microsoft Exchange Server 2003®, затем введите информацию об учетной записи и щелкните Next (Далее),
После этого откроется страница мастера Proposed Cluster Configuration (Рекомендуемая конфигурация кластера), показанная на рис, 6・4. Щелкните Quorum (Кворум), чтобы узнать, какой тип кворумной конфигурации будет использоваться. Щелкните Next (Далее).
Рис. 6-4. Страница Рекомендуемая конфигурация кластера
Мастер приступит к созданию нового кластера. Вы можете наблюдать за ходом процесса. По завершении создания щелкните Next (Далее).
На странице Completing The New Server Cluster Wizard (Завершение работы мастера) появится сообщение об успешном завершении настройки первого серверного узла кластера. Щелкните View Log (Отчет), чтобы просмотреть подробную информацию о процессе создания или Finish (Готово) для завершения. После того как вы щелкните Finish (Готово), утилита Cluster Administrator (Администратор кластеров) автоматически подключится к новому кластеру, как показано на рис, 6-5.
Clusti*i- Adni*wrtr&tar' ItlU^ltADl (CluilrrUlЛа^яЫН(1ИЫЖпЭ]
Рис. 6-5. Новый серверный кластер
Чтобы создать второй узел кластера, необходимо выполнить тс же дейстэия. Запустите утилиту Cluster Administrator (Администратор кластеров) на втором сервере и выберите Add Nodes То Cluster (Добавить узлы в кластер). Можно найти и выбрать кластер ClusterOl и продолжить создание второго узла точно так же, как вы создавали первый узел кластера.
Упражнение 2. Установка Exchange Server 2003 на узле кластера
Для установки Exchange Server 2003 на узле кластера необходимо выполнить те же Frpe- бовання, что н для установки на отдельном сервере, включая требования к разрешениям и компонентам Windows Server 2003, такмм как ASP.N ЕТ, SMTR Network News Transfer Protocol (NNTP) и служба World Wide Web. Подготовка к установке в подробностях рассматривается в главе 2, и вам необходимо выполнить все этапы подготовки перед тем, как приступать к установке Exchange Server 2003. Помимо этого, при помощи утилиты Cluster Administrator (Администратор кластера) необходимо установить Microsoft Distributed Transaction Coordinator (Координатор распределенных транзакций). Для этого проделайте следующее.
Откройте консоль Cluster Administrator (Администратор кластеров), если она еше не запушена.
Разверните контейнер Groups (Группы), правой кнопкой мыши шелкните Cluster Group (Lруппа кластеров), выберите New (Создать) и щелкните Resource (Ресурс).
В качестве имени введите MSDTC и в списке Resource 1Уре (Тин ресурса) выберите Distributed Transaction Coord加口for (Координатор распределенных транзакций). Щелкните Next (Далее).
На странице Possible Owners (Владельцы) автоматически должен быть выбран сервер ServerOL Щелкните Next (Далее).
Для параметра Dependencies (Зависимости) выберите Cluster Name (Название класте» ра) и дисковый ресурс, например. Local Quorum (Локальный кворум). Щелкните Finish (Готово).
6* После завершения создания ресурса MSDTC щелкните его правой кнопкой мыши, затем щелкните Bring Online (Включить).
7* Проведите обычную установку Exchange Server 2003 на сервере ServerOJ, выбрав тип установки Typical (Обычный) и сознав новую организацию с названием Tailspin Toys,
Завершив установку Exchange Server 2003, предоставьте учетной записи Cluster Service полномочия Exchange Full Administrator (Полный администратор Exchange), выполнив действия, перечисленные в главе 3. Завершите процесс выдачи разрешений Exchange Full Administrator (Полный администратор Exchange) учетной записи Cluster Service.
Занятие 2. Управление кластером Exchange Server 2003
После установки Exchange Server 2003 в кластере Windows Server 2003 вам необходимо выполнить еще несколько административных задач, чтобы создать виртуальный сервер Exchange Server 2003. Даже после настройки виртуального сервера Exchange Server 2003 можно управлять параметрами кластера и выполняющихся на нем служб. Например, можно указать, через какой промежуток времени служба, не отвечающая на запросы, будет перезагружена, интервал, по истечении которого будут задействованы функции отказоустойчивости, и включить автоматическое млн ручное восстановление после сбоя.
Изучив материал этого занятия, вы сможете:
/ создать виртуальный сервер Exchange Server 2003;
/ научиться управлять кластеризованными службами Exchange Server 2003*
Продолжительность занятия — около 60.
Создание виртуального сервера Exchange Server 2003
Последний этап настройки Exchange Server 2003 в кластере Windows Server 2003 заключается в создании виртуальных серверов Exchange Server 2003. Количество виртуальных серверов Exchange Server 2003 зависит от того, создаете вы активно~пассивный или активно-активный кластер. В случае активно-пассивного кластера Exchange Server 2003 с двумя узлами вам понадобится один виртуальный сервер Exchange Server 2003, Если же вы настраиваете активно-активный кластер Exchange Server 2003 с двумя узлами,
то необходимо создать два виртуальных сервера Exchange Server 2003, так как оба серверных узла будут активными. Эти действия необходимо выполнить на всех активных узлах, где будут работать виртуальные серверы Exchange Server 2003. 8 лабораторной работе в конце этого занятия вы создадите виртуальный сервер на сервере ScrverOl.
Каждый виртуальный сервер Exchange Server 2003 состоит из ресурсов статического 1Р・адреса, уникального сетевого имени, совместно используемого физического диска и Exchange System Allendant. Ресурсы по отдельности создаются при помощи утилиты Cluster Administrator (Администратор кластеров). Используя ее, сначала создайте сетевые и дисковые ресурсы, затем ресурс Exchange System Attendant. После успешного создания последнего Exchange System Attendant автоматически создаст все остальные ресурсы для виртуального сервера Exchange Server 2003. Ресурс Exchange System Attendant создает следующие ресурсы, перечисленные в окне Cluster Administrator (Администратор кластеров) на рмс. 6-6:
Exchange Message Transfer Agent Instance (Агент передачи сообщений);
Exchange Information Store Instance (Хранилище информации);
Exchange Routing Service Instance (Служба маршрутизаиии);
Exchange MS Search Instance (Поиск);
SMTP Virtual Server Instance (Виртуальный сервер SMTP);
Exchange HTTP Virtual Service Instance (Виртуальная служба HTTP).
Рнс. 6-6. Конфигурация виртуального сервера Exchange Server 2003
Ресурс Message Transfer Agent Instance (Агент передачи сообщений) создается только на первом виртуальном сервере Exchange Server 2003, добавленном в кластер. Все виртуальные серверы Exchange Server 2003 в кластере совместно используют один экземпляр ресурса Message Transfer Agent Instance.
Управление кластеризованными службами Exchange Server 2003
Создав вирт>гальный сервер Exchange Server 2003, необходимо настроить еще несколько параметров, управляющих обработкой служб Exchange Server в кластере. Это делается при помощи утилиты Cluster Administrator (/Администратор кластеров). В большинстве случаев можно оставить настройки по умолчанию, но если возникнет необходимость сменить значения, это можно сделать в любой момент.
Один из наборов параметров, который вам может понадобиться, отвечает за обеспечение отказоустойчивости при сбоях и восстановление группы после сбоев. На рис. 6-7 и рис. 6-8 показаны диалоговые окна свойств Failover (Отказоустойчивость) и Fallback (Восстановление) для виртуального сервера Exchange Server 2003. На странице Failover (Отказоустойчивость) при помощи параметра Threshold (Порог) можно задать макеммаль- ное разрешенное количество сбоев узла с применением функций отказоустойчивости. В случае превышения заданного лимита узел выключается, н служба Cluster Service не пытается его восстановить. По умолчанию настройки в диалоговом окне Fallback (Восстановление) не разрешают автоматический перенос ресурсов обратно после того, как серверный узел возвращается н оперативное состояние. Если политика восстановления
Рис. 6-7, Свойства обеспечения отказоустойчивости серверного узла
после сбоя не настроена, группа будет продолжать работать на другом узле, пока не произойдет очередной сбой, вследствие которого группа будет перенесена обратно на первый узел* Чтобы ресурсы восстанавливались на исходном сервере, необходимо настроить политику. При этом можно выбрать немедленное восстановление или восстановление в заданное время. Немедленное восстановление может оказаться неудачным выбором. На время переноса обратно на исходный узел активные службы останавливаются, что может оказаться нежелательным, например в середине рабочего дня. Процесс восстановления может длиться до 15 мннут, что приведет к довольно длительному перерыву в работе служб. Следовательно» лучше настроить период восстановления в нерабочее время или в момент наименьшей активности сети. Задавайте время в 12-часовой системе (0 часов представляется как 12:00 А.М., а 23 часа ——как 11:00 Р.М.).
Рис* 6-8. Свойства восстановления после сбоя серверною узла
Чтобы открыть вкладку свойств любого ресурса, перечисленного в окне Cluster Administrator (Администратор кластеров) (например, одного из показанных на рис. 6-6), щелкните его правой кнопкой мыши и в контекстном меню выберите Properties (Свойства). Здесь, напрнмер, можно настроить зависимости ресурсов. Шелкните вкладку Advanced (Дополнительно) в свойствах любого ресурса, чтобы открыть диалоговое окно, показанное на рис. 6-9.
Exchdnqe Infortnetioo Sture Instance (OXH ■ VbO 1，
Generel) Dependenciei Advanced
0?0?tecond»tecond»tnittaecond*tnittaecond*Fendng timeout;Fendng timeout;CancelCancel"H AJive'' pdB rtetvai; » U«ey«due kom retourca type"H AJive'' pdB rtetvai; » U«ey«due kom retourca type* 'Looks Alive1 poll inter vat 命 Ц(е vaLib hom t* 'Looks Alive1 poll inter vat 命 Ц(е vaLib hom t「DoDOir&slaite胸封“ Affect Ihejioup「DoDOir&slaite胸封“ Affect IhejioupРис. 6-9. Расширенные свойства ресурсаРис. 6-9. Расширенные свойства ресурсаГ Specify yelue：Г Specify yelue：Q^ Exchange Information Side JnttAnce [EKCH VS01)
0?
0?
tecond»
tecond»
tnittaecond*
tnittaecond*
Fendng timeout;
Fendng timeout;
Cancel
Cancel
"H AJive'' pdB rtetvai; » U«ey«due kom retourca type
"H AJive'' pdB rtetvai; » U«ey«due kom retourca type
* 'Looks Alive1 poll inter vat 命 Ц(е vaLib hom t
* 'Looks Alive1 poll inter vat 命 Ц(е vaLib hom t
「DoDOir&slait
e胸封
“ Affect Ihejioup
「DoDOir&slait
e胸封
“ Affect Ihejioup
Рис. 6-9. Расширенные свойства ресурса
Рис. 6-9. Расширенные свойства ресурса
Г Specify yelue：
Г Specify yelue：
На пкладке Advanced (Дополнительно) настраиваются параметры отдельных ресурсов. В данном примере мы редактируем свойства ресурса Exchange Information Store Instance (Хранил ише информации). Здесь можно задать поведение в случае сбоя данного ресурса на серверном узле. По умолчанию будет произведена попытка перезапустить ресурс в соответствии с заданным пороговым значением. Если выбран параметр Affect The Group (Затрагивать группу), то при активации функции отказоустойчивости ресурса счетчик сбоев группы увеличивается на единицу. Счетчик группы напрямую связан с пороговым значением, заданным для политики отказоустойчивости группы (см. рис. 6-7). Если сбросить этот флажок, то сбой ресурса не повлияет на значение счетчика сбоев группы. Когда счетчик группы достигнет порогового значения (произойдет достаточно сбоев ресурсов) или будет достигнут порог для индивидуального ресурса, вся группа будет переведена на другой узел.
При первом развертывании кластера рекомендуется проверить политики перезагрузки, функций отказоустойч и вост и н восстановления после сбоя. Так вы сможете гарантировать, что в случае реального сбоя все сработает так, как задумано. Утилита Cluster Administrator (Администратор кластеров) позиоляет вручную инициировать сбой. Для этого правой кнопкой мыши щелкните ресурс и в контекстном меню выберите Initiate Failure (Инициировать ошибку). Точно так же можно перезагрузить ресурсы согласно выбранным политикам перезагрузки, включая полный перенос группы на другой узел.
Ешс один способ проверить политику отказоустойчивости ——вручную остановить кластерную службу на серверном узле. Для этого щелкните узел в консоли Cluster Adminitrator (Администратор кластеров), затем в меню File (Файл) выберите Stop Cluster Service (Остановить службу к；1астеров). Это вызовет мгновенный сбой узла и задействование выбранных вами функций отказоустойчу^вости. После этого можно снова запустить службу и проверить политики восстановления после сбоя, если они настроены.
Лабораторная работа. Управление кластером
Exchange Server 2003
В этой лабораторной работе вы создадите виртуальный сервер Exchange Server 2003. а также в ходе процесса настроите необходимые ресурсы 1Р-адрссаэ сетевого имени, дисковый ресурс и ресурс System Attendant.
Упражнение 1. Создание виртуального сервера Exchange Server 2003
Ваша перная задача ——создать новую группу для ресурсов Exchange Server 2003. Хотя можно использовать существующую группу Cluster Group, автоматически созданную в Windows, все же рекомендуется хранить ресурсы приложений в собственных группах. L На первом узле в кластере в меню Start (Пуск) выберите Administrative Tools (Администрирование) и щелкните Cluster Administrator (Администратор кластеров)* Правой кнопкой мыши щелкните контейнер Groups (Группы), в контекстном меню выберите New (Создать) и щелкните Groups (Группы),
Будет запущен New Group Wizard (Мастер создания группы). В поле Name (Имя) в качестве нменн кластерной группы Exchange Server 2003 введите ExchangeServer
На странице Preferred Owners (Предпочитаемые владельцы) проверьте, что в поле Preferred Owners (Предпочитаемые владельцы) присутствует либо только один, либо ни одного кластерного узла, и щелкните Finish (Готово), В разделе Groups (Группы) появится новый виртуальный сервер (кластерная группа) Exchange Server 2003,
Примечание Если на странице Preferred Owners (Предпочитаемые владельцы) перечислены оба узла кластера, измените порядок следования элементов списка на втором серверном узле на п роти вол оложный порядку на первом узле. Например, если на перяом узле в списке Preferred Owners (Предпочитаемые владельцы) сначала перечислен ServerOL а потом Server02t то на втором узлы должны быть перечислены в противоположном порядке: сначала ServerO2, затем Server。I.
Упражнение 2. Создание ресурса IP-адреса
Правой кнопкой мыши щелкните виртуальный сервер Exchange Server 2003. в контекстном меню выберите New (Создать) и щелкните Resource (Ресурс),
Будет запущен New Resource Wizard (Мастер создания ресурса). На странице New Resource (Новый ресурс) введите Exchange Serve г /Р Address,
В раскрывающемся списке Resource Т^ре (Тип ресурса) выберите IP Address (IP-адрес). Проверьте, что в поле Group (Группа) присутствует имя вашей кластерной группы* как показано на рис. 6-10, и щелкните Next (Далее).
Рис. 6-10. Настройка типа ресурса
На странице Possible Owners (Возможные владельцы) проверьте, что сервер ServerOl, на который установлен Exchange Server 2003, перечислен в списке, и щелкните Next (Далее).
На странице Dependencies (Зависимости) проверьте, что в списке Resource Dependencies (Зависимости от ресурсов) не перечислены никакие ресурсы, и щелкните Next (Далее).
На странице Параметры адреса TCP/IP (TCP/IP Address Parameters) в поле Адрес (Address) введите статический IP-адрес виртуального сервера Exchange Server 2003. Это должен быть адрес, работающий в общей сети, не совпадающий с другими адресами, уже назначенными физическому серверу или кластеру.
Проверьте, что для виртуального сервера Exchange Server 2003 правильно указана маска подсети и что выбрано подключение по локальной сети к общей сети. Щелкните Finish (Готово).
Упражнение 3. Создание ресурса сетевого имени
Правой кнопкой мыши щелкните виртуальный сервер Exchange Server 2003, в контекстном меню выберите New (Создать) и щелкните Resource (Ресурс).
Будет запущен Мастер создания ресурса (New Resource Wizard). На странице New Resource (Новый ресурс) введите Exchange Serve г Network Name.
В списке Resource Т^ре (Тип ресурса) щелкните Network Name (Сетевое имя), затем щелкните Next (Далее)*
На странице Possible Owners (Возможные владельцы) проверьте, что в поле Possible Owners (Возможные владельцы) присутствует ServerO 1, и шелкиите Next (Далее)*
На странице Dependencies (Зависимости) в списке Available Resources (Доступные ресурсы) щелкните ресурс 1 Р-адреса для этого виртуального сервера Exchange Server 2003 и щелкните Add (Добавить). Щелкните Next (Далее).
На странице Network Name Parameters (Параметры сетевого имени), показанной на рис. 6-11, в поле Name (Имя) введите имя, например Exch-VSOl (Exchange Virtual Server 01), для виртуального сервера Exchange Server 2003. Это имя является сетевым именем, идентифицирующим виртуальный сервер Exchange Server 2003 в сети. Закончив, шелкните Finish (Готово).
Рис. 6-11. Настройка сетевого имени
Упражнение 4. Добавление дискового ресурса на виртуальный сервер Exchange Server 2003
В 9ToM упражнении вы создадите новый дисковый ресурс. Необходимо создать диско^ вый ресурс для каждого диска, который вы планируете связать с виртуальным сервером Exchange Server 2003. Дисковыми ресурсами могут быть диски SCSI, подключенные по каналу SCSI или Fibre channeL Если же вы попытаетесь использовать диск Integrated Device Electronics (IDE), то сможете создать ресурс, но включить его позже будет невозможно. Если ресурс, который вы хотите добавить, уже существует в другой группе, его можно переместить из той группы. Если дисковый ресурс еще не существует, его необходимо создать.
Правой кнопкой мыши шелкните виртуальный сервер Exchange Server 2003, в контекстном меню выберите New (Создать) и щелкните Resource (Ресурс).
На странице Новый ресурс (New Resource) введите Disk <буква_диска>, где буква_ диска — это буква одного из логических дисков, входящих в состав физического диска. Используйте понятное описание, например: Disk Е Log Files (замените букву диска).
В списке Resource Туре (Тип ресурса) щелкните Physical Disk (Физический диск), затем щелкните Next (Далее).
На странице Possible Owners (Возможные владельцы) проверьте, что в списке Possible Owners (Возможные владельцы) присутствует сервер ServerO 1, и шелкните Next (Далее).
На странице Dependencies (Зависимости) проверьте, что в списке Resource Dependencies (Зависимости от ресурсов) не перечислены никакие ресурсы, и щелкните Next (Далее).•
На странице Disk Parameters (Параметры диска) выберите подходящий диск. Если вы не видите здесь имени желаемого диска, это означает, что он либо уже определен в качестве ресурса другой кластерной группы, либо неправильно установлен.
Щелкните Finish (Готово). Дисковый ресурс появится в качестве одного из ресурсов виртуального сервера Exchange Server 2003*
Упражнение 5. Создание ресурса Exchange Server 2003
System Attendant Resource
В окне Cluster Administrator (Администратор кластеров) правой кнопкой мыши щелкните виртуальный сервер Exchange Server 2003 и в контекстном меню выберите Bring Online (Включить). Вы увидите, как состояние всех ресурсов изменится с Offline на Online Pending и затем на Online.
Прапой кнопкой мыши щелкните виртуальный сервер Exchange Server 2003, в контекстном меню выберите New (Создать) н щелкните Resource (Ресурс).
На странице New Resource (Новый ресурс) в поле Name (Имя) введите Exchange System Attendant - (Exch-VSOI).
В списке Resource Туре (Тип ресурса) щелкните Microsoft Exchange System Attendant, затем щелкните Next (Далее).
На странице Possible Owners (Возможные владельцы) проверьте, что в списке Possible Owners (Возможные владельцы) присутствует сервер ServerOl, и щелкните Next (Далее).
На странице Dependencies (Зависимости) в списке Available Resources (Доступные ресурсы) для этого виртуального сервера Exchange Server 2003 выберите ресурсы Network Name (Сетевое имя) и Physical Disk (Физический диск), затем щелкните Add (Добавить). Щелкните Next (Далее).
На странице Data Directory (Каталог данных) проверьте место расположения каталога данных. Необходимо удостовериться, что здесь указан обший ресурс физического диска, назначенный данному виртуальному серверу Exchange Server 2003* Exchange Server 2003 будет использовать выбранный на данном шаге диск для хранения файлов журналов транзакций, файлов обшего хранилища по умолчанию и файлов хранилища почтовых ящиков (Pub!,edb, Publ.stm, PrivLedb и Priv].stm). Щелкните Finish (Готово).
Правой кнопкой мыши щелкните виртуальный сервер Exchange Server 2003 и в контекстном меню выберите Bring Online (Включить).
При создании активно-активного кластера необходимо еше раз повторить вес упражнения на втором узле, например Serveг02, В активно-пассивной конфигурации следует повторить эти действия на каждом серверном узле кластера, который будет переведен в активный режим. Если же вн создаете активно-пассивный кластер Exchange
Server 2003, состоящий из двух узлов, то настройка завершена. Можно запустить Exchange System Manager (Диспетчер системы Exchange), развернуть контейнер Seners (Серверы), и вы увидите новый виртуальный сервер Exchange Server 2003, Exch-VSOl, как показано на рис. 6-12.
Рис, 6-12. Новый виртуальный сервер Exchange Server 2003
Занятие 3. Установка Exchange Server 2003 в конфигурации с внешними и внутренними серверами
С конфигурацией внешних и внутренних серверов вы познакомились в главе 3, где обсуждались базовые кониепции н преимущества данной архитектуры. В этом занятии вы узнаете, как установить и настроить Exchange Server 2003 в конфигурации с внешними и внутренними серверами и как при помощи технологий кластеризации максимизировать преимущества архитектуры внешних и внутренних серверов.
Изучив материал этого занятия, вы сможете:
/ настроить Exchange Server 2003 в качестве внешнего сервера;
，узнать, как при помотн Network Load Balancing и службы Microsoft Cluster Service создавать масштабируемые и высо кодостуин ыс организации Exchange Server 2003.
Продолжительность занятия — около 45 минут.
Настройка Exchange Server 2003 в качестве внешнего сервера
И Exchange Server 200 3. Standard Edition, и Exchange Server 20 0 3, Enterprise Edition поддерживают настройку в качестве внешних серверов, не использующихся н качестве хранилищ почтовых ящиков пользователей или общих папок. Одним из основных преимуществ внедрения внешнего сервера является то, что клиентам Интернета можно предоставлять только один адрес ——адрес внешнего сервера, независимо от того, на каком физическом внутреннем сервере в действительности хранится нужный почтовый ящик или реплика общей папки. Помимо этого, такая конфигурация предоставляет дополнительную защиту, так как только внешний сервер находится за пределами брандмауэра и обменивается данными с клиентскими компьютерами в Интернете, а коммуникация с внутренними серверами осуществляется более безопасным способом. Это предотвращает попадание трафика из Интернета напрямую на серверы Exchange Server 2003, где хранятся пользовательские данные.
Существует несколько потенциальных изменений, которые может потребоваться внести перед тем, как настраивать сервер Exchange Server 2003 в качестве внешнего сервера, так как внешние серверы предназначены исключительно для передачи трафика из Интернета на внутренние серверы» находящиеся во внутренней сети. Во-первых, на сервере не может находиться служба Recipient Update Service (Обновление получателя). Если служба уже установлена на сервере, то ее необходимо уда-чить илн переместить на другой сервер при помощи утилиты Exchange System Manager (Диспетчер системы Exchange). Служба Mailbox Management (Управление почтовыми ящиками), отвечающая за запуск и остановку агента очистки почтовых ящиков, также не должна находиться на внешнем сервере, и ее необходимо удалить. Наконец, служба, отслеживающая со» стояние «свободен» и «занята пользовательских календарей, также не должна работать на внешних серверах. Удалив эти службы, можно будет настроить сервер в качестве внешнего сервера. Вы выполните это в лабораторной работе в конце этого занятия.
При создании внешних серверов необходимо рассмотреть еше несколько вопросов.
■ Если внешний сервер принимает почту SMTP от Интер нет-клиентов, необходимо запустить службу Microsoft Exchange Information Store (Хранилище информации) и подключить, как минимум, одно хранилище почтовых ящиков. В определенных ситуациях, например при генерировании отчетов о невозможности доставить почту, службе SMTP для проведения преобразования требуется наличие хранилища. Если хранилище почтовых ящиков не подключено, сообщения, которые необходимо преобразовать, остаются в локальной очереди доставки. В целях безопасности убедитесь, что в хранилище на внешнем сервере нет почтовых ящиков пользователей* Если в том же сайте или группе маршрутизации есть серверы, на которых установлен Exchange Server 5.5, то на внешнем сервере должна работать служба Microsoft Exchange МТА Stacks (Стек МТА). Это позволит МТА подключаться и передавать почту при помощи удаленных вызовов процедур (remote procedure call, RPC), то есть так же, как осуществляется передача внутренних сообщений Exchange Server 5.5 (Exchange Server 2003 использует SMTP).
Если необходимо изменить что-либо в конфигурации, используя утнпмту Internet Services Manager (Диспетчер служб Интернета), например исправить настройки Secure Sockets Layer (SSL), ничего нс предпринимайте по отношению к хранилищу почтовых ящиков на внешнем сервере,
При создании внешнего сервера нс удаляйте объект First Storage Group в Exchange System Manager (Диспетчер системы Exchange). Служба Microsoft Exchange Information Store (и связанные с ней службы) зависят от объекта First Storage Group.
Если вы устаназливаете Exchange Server 2003 в существующей конфигурации внешних и внутренних серверов Exchange 2000 Server, необходимо сначала обновить все внешние серверы, а после этого — все внутренние серверы.
Руководствуйтесь следующим общим принципом: устанавливайте один внешний сервер для каждых четырех внутренних серверов. Это число представляет собой лишь рекомендацию, но не строгое правило. На внешних серверах не обязательно устанавливать объемные или скоростные дисковые хранилища, но они должны быть оснащены быстрыми процессорами и большим объемом оперативной памяти. Нет необходимости производить резервное архивирование дисков внешних серверов, если только вы не включили службу SMTP. Эта служба требует архивирования, так как записывает почтовую очередь на локальный диск. Службы POP3, Internet Message Access Protocol 4 (IMAP4) и HTTP (OWA) не хранят никаких пользовательских данных на дисках внешних серверов.
Внешние и внутренние серверы и кластеризация
Архитектура внешних и внутренних серверов обеспечивает хорошее масштабирование с использованием N ст work Load Balancing и Microsoft Cluster Service. Так как на внешних серверах пользовательские данные не хранятся, они в большей степснн похожи на Web- серверы, чем на обычные серверы Exchange Server. Это означает, что на внешних серверах удобно использовать Network Load Balancing. В такой конфиг}грации при помощи Network Load Balancing кластер можно расширить до 32 узлов, причем Интернет-клиенты служб кластера будут подключаться при помощи 0WA, POP3 и IMAP4. Со стороны клиентских запросов кластер представляется единой сущностью, задачей которой является передача трафика между клиентскими компьютерами н внутренними серверами.
На внутренних серверах удобнее использовать Microsoft Cluster Service. На основе хорошо масштабируемой и характеризующейся высокой готовностью конфигурации Exchange Server 2003 можно создать кластер, задействовав технологию Network Load Balancing, настроить все входящие в кластер серверные узлы Exchange Server 2003 в качестве внешних серверов и подключить их к внутреннему активно-пассивному кластеру Exchange Server 2003, использующему Microsoft Cluster Service.
Если у вас есть внешние серверы, необходимо внести определенные изменения в настройки, используя утилиты Cluster Administrator {Администратор кластеров) и Exchange System Manager (Диспетчер системы Exchange). Для настройки входящих в кластер внутренних серверов необходимо при помощи Cluster Service привязать каждый
внешний сервер ко всем серверным узлам внутреннего кластера Cluster Service, чтобы любой узел мог принимать прокси-запросы с любого внешнего сервера. Проксизапросы ——это запросы к службам обмена сообщениями от клиентских компьютеров, использующих OWK. POP3 и 1МАР4, перенаправленные внутренним серверам с внешних. Весь обмен данными между внешними н внутренними серверами осуществляется через порт TCP 80, независимо 0T того, какой порт используется для коммуникации между клиентскими компьютерами л внешним серверов.
Для ссылки на предоставляемые IP-службы Exchange Server 20()3 использует концепцию виртуальных серверов. По умолчанию в Exchange Server 2003 входит несколько различных служб для поддержки различных типов клиентов обмена сообщениями. Например, существуют виртуальные серверы для обращения к Exchange Server 2003 по протоколу HTTP, так же, как и по протоколам POP3, IMAP4, NNTP и SMTR Они являются виртуальными серверами, так как каждая служба выполняется в пределах контекста сервера Exchange Server 2003, а не на отдельных физических серверах. Однако в то же время кажды11 виртуальный сервер можно настроить независимо, присвоив ему собственный IP-адрес, параметры безопасности и номера портов. С другой стороны, эти виртуальные IP-серверы отличаются от виртуальных серверов, работающих в Cluster Service. Виртуальный сервер HTTP в кластере Cluster Service определяет ресурсы, позволяющие предоставить доступ к виртуальному HTTP IP-серверу в контексте кластера Exchange Server 20()3.
Чтобы настроить ресурсы виртуального сервера HTTP для виртуального сервера Exchange Server 2003, функционирующего в качестве внутреннего сервера, необходимо выполнить несколько действий. Во-первых, необходимо создать виртуальные серверы в утилите Exchange System Manager (Диспетчер системы Exchange). Затем нужно создать виртуальные каталоги, соответствующие каталогам, настроенным на внешнем сервере. Наконец, следует добавить ресурсы нового виртуального сервера HTTP на виртуальный сервер Exchange. Однако, если вы всего лишь настраиваете стандартный виртуальный сервер HTTR обслуживаюший один домен, эти действия выполнять не нужно. Конфн- пграция по умолчанию Exchange Server 2003 и виртуального сервера Exchange Server 2003 уже включает настроенный виртуальный сервер HTTR виртуальный каталог и кластерные ресурсы виртуального сервера HTTP. С другой стороны, если по протоколу HTTP поддерживается несколько доменных имен, необходимо создать отдельные виртуальные серверы HTTP для каждого домена* Например, компания Contoso, Ltd. приобретает компанию Fabrikam, Inc. и после слияния пользователям необходимо иметь возможность обращаться к почтовым ящикам в доменах contosoxom н fabnkam.com. По умолчанию, виртуальный IP-сервер для домена contosoxom уже существует, но вам необходимо создать еще один для домена fabnkamxotn. Созданию виртуальных серверов н виртуальных каталогов посвящена глава 9*
Лабораторная работа. Установка Exchange Server 2003 в конфигурации с внешними и внутренними серверами
В этой лабораторной работе вы настроите сервер ServerO2 в домене taUspintoys.com в качестве внешнего сервера, подключив его к внутреннему виртуальному серверу Exch- VS01, который вы создали ранее в этой главе. Перед тем как приступать к выполнению этой лабораторной работы, необходимо выполнить упражнения занятий 1 и 2 данной
главы.
Упражнение 1 ・ Настройка Exchange Server 2003 в качестве внешнего сервера
Убедитесь, что сервер Server。1 включен н подключен к сети и что виртуальный сервер Exchange Server 2003 Exch-VSOI работает. На сервере Server02 установите Exchange Server 2003 в обычной конфигурации; при этом от должен присоединиться к организации Tailspintoys.
После установки Exchange Server 2003, если необходимо, перезагрузите компьютер.
Запустите Exchange System Manager (Диспетчер системы Exchange) и разверните контейнер Recipients (Получатели). Щелкните контейнер Recipient Update Services (Службы обновления получателей).
Вы должны увидеть две службы Recipient Update Services, ссылающиеся на сервер Serveг02. Правой кнопкой мыши щелкните службу, в имени которой присутствует (TAILSPINTOYS) и в контекстном меню выберите Delete (Удалить). Право比 кнопкой мыши щелкните службу, в имени которой присутствует (Enterprise Configuration) и в контекстном меню выберите Properties (Свойства). В области Windows Domain Controller (Контроллер домена Windows) щелкните Browse (Обзор) и в качестве имени введите ServerOl. Это позволит перенести службу Recipient Update Service с сервера Serveг02. Щелкните ОК, затем еще раз щелкните ОК.
Щелкните контейнер Offline Address Lists (Списки адресов). Здесь должны присутствовать автономные списки адресов для Exch-VSOI и Scrvcr02. Правой кнопкой мыши шелкните Default Offline Address List для Server02 n в контекстном меню выберите Delete (Уцалить).
Разверните контейнер Servers (Серверы). Правой кнопкой мыши щелкните Server02 и в контекстном меню выберите пункт Properties (Свойства). Установите флажок This Is A Front-End Server (Это внешний сервер) и шелкните ОК. Вы увидите предупреждение, как на рис. 6-13. Для продолжения щелкните ОК*
Рнс. 6-13. Подтверждение преобразования во внешний сервер
Перезапустите все службы Exchange Server, а также службу World Wide Web Publishing Service.
В простой топологии с внешними и внутренними серверами никакая дополнительная настройка внешних серверов не требуется. Однако, если присутствует несколько доменов, необходимо настроить виртуальные серверы и виртуальные каталоги для каждого домена.
ГЛАВА 7
Управление объектами получателей и списками адресов
Занятие 1. Настройка объектов получателей181
Занятие 2. Настройка банков сообщений220
Занятие 3. Создание и управление списками адресов и политиками получателей230
Темы экзамена
Управление политиками получателей.
Управление объектами пользователей.
Управление группами распространения и группами безопасности.
в Управление контактами.
Управление списками адресов.
В этой главе
После установки Microsoft Exchange Server 2003 и создания организации следующим логическим шагом является настройка объектов получателей, использующих сервер Exchange. Как администратор Exchange в реальной производственной среде вы обнаружите, что большая часть ежедневной административной работы включает управление получателями.
Администрирование объектов получателей — это не просто создание объектов пользователей и списков распространения. Хорошим администратором является тот администратор, который своими действиями может повысить эффективность работы пользователей и, следовательно, поднять производительность. Изучив материалы этой главы, вы получите навыки, необходимые для того, чтобы научиться в полной мере администрировать тестовый домен и повысить продуктивность организации, выйдя на новые уровни управления пользователями.
Прежде всего
Для выполнения упражнений и примеров в этой главе вам потребуется следующее;
два сервера под правлением Microsoft Windows Server 2003, установленные и настроенные как Serveг01 и Server02 в домене сотогоtcom\
на обонх серверах должен быть установлен Exchange Server 2003, Enterprise Edition;
на рабочей станции домена или на одном из серверов должен быть установлен Microsoft Outlook 2003.
Занятие 1. Настройка объектов получателей
Для администратора среды Microsoft Exchange Server 5.5 одним из самых заметных изменений в Exchange Server 2003 станет управление получателями, так как Exchange Server 5.5 поддерживал собственный каталог, независимый от Microsoft Windows. Exchange Server 2003 тесно интегрируется с объектами службы каталогов AD (например, учетными записями пользователей домена). Различие между Exchange Server 5.5 и Exchange Server 2003 заключается в том, что для управления почтовыми ящиками Exchange используется консоль Active Directory Users And Computers (Active Directory — пользователи м компьютеры), а не отдельная утилита Exchange Adminiatraior (Администратор Exchange). Еще одно различие состоит в однозначных взаимоотношениях между объектами AD и почтовыми ящиками Exchange. В Exchange Server 5.5 зачастую создавались общие почтовые ящики, напрнмер sales@contoso,сот, которые связывались с группами безопасности Windows. Также часто с именем одной учетной записи пользователя ассоциировались несколько почтовых ящиков. Exchange Server 2003 нс поддерживает взаимоотношения вида ^один ко многим», что было возможно в Exchange Server 5.5, однако и в новой версии есть способы выполнить все нужные задачи.
Изучив материал этого занятия, вы сможете:
/ познакомиться с типами получателей Exchange Server 2003;
научиться управлять почтовыми ящиками Exchange;
научиться управлять группами с адресами электронной почты.
Продолжительность занятия около 120 минут.
Типы получателей
Exchange Server 2003 поддерживает различные типы получателей, и вы можете выбрать нужного в зависимости от того, каким образом вы планируете отправлять электронные сообщения и где получатель находится по отношению к вашей организации Exchange. Объекты получателей можно разделить на четыре группы: пользователи, контакты, группы и общие папки. Первые три типа настраиваются и управляются при помощи консоли Active Directory Users And Computers (Active Directory — пользователи и компью- терн), а общие папки создаются в клиенте Outlook.
Получатели-пользователи
Получатели-пользователи ——это объекты получателей, представляющие сотрудников и партнеров, работающих с вашей организацией, связанные с учетными записями пользователей AD, Их адреса электронной почты могут являться частью организации, например ^contoso.com. или же пользователи могут владеть внешними по отношению к организации адресами. Эти объекты получателей настраиваются при помощи коне。- ли Active Directory Users And Computers (Active Directory — пользователи и компьютеры), так как являются учетными записями пользователей в домене AD. В зависимости от ваших требований можно создавать получателей-пользователей с почтовыми ящиками или с адресами электронной почты.
Mailbox-enabled user (Пользователь с почтовым ящиком)——это учетная запись пользователя, обладающая в организации Exchange почтовым ящиком и, следовательно, могущая отправлять и получать электронную почту в пределах инфраструктуры Exchange Server 2003. Обычно пользователями такого типа являются сотрудники компании, которые регистрируются в домене AD со своей учетной записью пользователя в данном домене и обращаются к серверу Exchange Server 2003, где хранятся почтовые ящики, с помощью клиента Outlook (хотя к почтовому яшику можно обратиться н другими способами, например при помощи Outlook Wsb Access (OWA), Internet Message Access Protocol 4 (IMAP4) и Post Office Protocol 3 (POP3)). Пользователи с почтовыми ящиками —— это самый распространенный тип объектов получателей в организации Exchange.
Mail-enabled user (Пользователи с адресом электронной почты) похожи на пользователей с почтовым яшиком, так как они также имеют учетные записи пользователей домена в домене AD. Однако в противоположность пользователям с почтовым ящиком, у пользователей с адресом электронной почты r организации Exchange нет почтового ящика. У таких пользователей есть только адрес электронной почты. В определенных ситуациях удобнее создавать учетные записи пользователей с адресом электронной почты, а не с почтовым ящиком, например, если в вашем офисе работает партнер компании, которому необходим доступ к сети (учетная запись пользователя домена), но не нужна учетная запись для работы с корпоративной электронной почтой. В этом случае можно создать учетную запись пользователя и присвоить ей адрес электронной почты, используя личный адрес партнера, предоставленный его поставщиком услуг Интернета. Например, если в домене cotuoso.com присутствует учетная запись пользователя с именем Willis, но его личный адрес электронной почты ——willis@proseware.com то эту учетную запись следует включить, используя адрес ^illis@prosewarexom. Это позволит пользователю Willis войти в глобальный список адресов (Global Address List, GAL), чтобы его легко смогли найти и добавить s списки распространения другие сотрудники и партнеры, но в то же время получать электронную почту на свою личную учетную запись.
Еще одна ситуация, когда вместо пользователей с почтовым ящиком предпочтительнее выбирать пользователей с адресом электронной почты т — это наличие партнеров, работающих в собственных офисах, которым нужны адреса корпоративной электронной почты, но не нужен доступ к сети. Например, издатель хотел бы, чтобы читатели могли отправлять письма автору на корпоративный адрес электронной почты, но автор не находится в офисе издательства и никогда нс входит в корпоративную сеть. Предположим, что компания Lucerne Publishing заключает контракты со свободными писателями
на публикацию их книг и статей в интерактивных журналах. Компания хотела бы, чтобы читатели могли отправлять письма авторам на адреса электронной почты в домене @lucernepublishing.com. У всех писателей есть собственные электронные адреса, н нн у одного из них нет учетных записей пользователей AD в Lucerne. Для решения этой проблемы, когда пользователям, не имеющим учетных записей, необходимы адреса электронной почты, администратор Exchange в Lucerne мог бы создать для каждого писателя учетную запись пользователя с адресом электронной почтыt отключить учетную запись (так как она не будет использоваться для входа в сеть) и после этого настроить переадресацию почты с адреса @1 и сете ри blishing. сот на личный адрес писателя. Конечно 來6, в такой конфигурации электронный адрес писателя в домене ©lucemepublishing, сот будет общедоступным, а вся электронная почта, направляемая этой учетной записи, будет перенаправляться на его личный адрес* например в системе hotmail.com,
Получатели-контакты
Получатели-контакты схожи с пользователями с адресами электронной почты, так как в данном варианте адрес электронной почты также указывает на почтовый ящик, не являющийся частью организации Exchange. Однако в отличие от пользователей с электронными адресами у контактов нет учетных записей пользователей в домене AD. Обычно по л у чате л и - к о и та кты используются в ситуациях, когда пользователям вашей организации необходимо регулярно отправлять почту на определенный адрес за пределами организации. Чтобы сделать этот процесс наиболее удобным, добавьте адрес в GAL и в другие списки адресов или списки распространения Exchange Server. Получатели- контакты схожи с контактами, хранящимися в личных папках Contacts (Контакты) пользователей. Различие заключается в том, что в Exchange Server 2003 контакты можно сделать доступными для всей организации.
Один из распространенных сценариев использования получателей-контактов — это случай объединения компаний с сохранением отдельных лесов AD и организаций Exchange. Конечно же, в такой ситуации сотрудникам обеих компаний необходимо регулярно отправлять друг другу сообщения. Например, если компании contoso.com и adaturnxom объединятся, вы могли бы настроить всех пользователей домена adatum. сот в виде получателей-контактов в GAL домена con toso хот н наоборот. Это позволит пользователям обеих организаций Exchange быстро и эффективно обмениваться сообщениями.
Если вы осуществляете миграцию с Exchange Server 5.5 на Exchange Server 2003, то получатели-контакты точно соответствуют пользовательским получателям в Exchange Server 55
Получатели-группы
Получатели-группы имеют много общего с пользователями с адресом электронной почты: они также могут обладать адресами электронной почты, являющимися частью организации Exchange, но не имеют почтовых ящиков для хранения сообщений. Отличие получателей - групп от пользователей состоит в том, что если сообщение отправляется на адрес, связанный с группой, то его получают все члены группы. С точки зрения функциональности, группы являются полным аналогом списков распространения Exchange Server 55
Благодаря интеграции с AD Exchange Server 2003 поддерживает присаоение адресов электронной почты обоим типам групп AD: группам безопасности и группам распространения. Группы безопасности (security group), как понятно из их названия, используются для назначения ресурсам разрешений. Для управления ресурсами AD применяются локальные группы домена, глобальные и универсальные группы. 1руппы распространения не имеют никакого отношения к безопасности или доступу к ресурсам, и поэтому им невозможно назначить разрешения. Однако группы распространения удобно использовать для группировки пользователей в списки в зависимости от общей цели. Например, можно создать группу распространения, представляющую всех сотрудников всех отделов продаж во всех офисах компании, В такой ситуации обычно создаются несколько групп безопасности, в которые входят все эти пользователи. Предположим, вы администрируете компанию wideworldbnporters.сот, имеющую офисы в 20 городах США, и каждый офис представляется отдельным сайтом AD. Чтобы на* значить разрешения, можно создать i^pynnbi безопасности для каждого офиса. После этого каждой группе безопасности можно присвоить адрес электронной почты: bostons ales@wideworldimporters.com, dallassales@wideworldiniporter5.corn и так далее. Если же вам потребуется отправить одно электронное сообщение всем группам продаж, то можно создать еще одну группу безопасности, объединяющую асе перечисленные группы (эта группа вам не нужна, если только вы не хотите назначить общие разрешения всем группам продаж), или же группу распространения, существующую исключительно для удобства организации электронной почты,——это намного более удобный вариант.
Помимо этого, группы распространения удобно создавать для групп сотрудников из разных отделовг занимающихся одним проектом. В этом случае электронные письма приходится рассылать людям, которых невозможно объединить в одну или две группы безопасности. Создав группы распространения, можно легко сгруппировать пользователей по желаемому признаку, не нарушив безопасности системы.
Получатели-общие папки
Получатели-общие папки отличаются от остальных объектов получателей, так как они представляют собой не отдельных пользователей или группы пользователей, а папки в организации Exchange, которым были присвоены адреса электронной почты. Доступ к общей папке может быть предоставлен пользователям при помощи стандартных разрешений (индивидуальных или групповых), а обратиться к папке они могут в клиенте Outlook через иерархию общих папок. Управлению общими папками посвящена глава 8 «Общие папки*.
Получатели-общие папки используются для различных целей, включая общение в дискуссионных форумах, публикацию сообщений в сетевых конференциях и создание хранилищ для электронных писем с отзывами клиентов. Представьте, что вы администратор компании Contoso. Ltd., только что запустившей новую линию продуктов. Одной из важных составляющих этого процесса является получение отзывов покупателей. Хотя можно создать группу распространения (в этом случае сообщения будут отправляться всем членам группы), лучше предоставить адрес электронной почты общей папке. Тогда письма покупателей, отправленные на адрес feedback^contoso.com, будут публиковаться в папке, if все пользователи, имеющие разрешения на просмотр папки, смогут ознакомиться с сообщениями. Это особенно полезно в ситуациях, когда руководители компании желали бы просматривать отзывы клиентов, но не получать все письма с отзывами на собственные адреса.
Создание объектов получателей
При установке Exchange Server 2003 по умолчанию почтовые ящики в организации Exchange создаются для всех учетных записей пользователей AD. Однако, если у вас уже есть пользователь» не имеющий почтового яшика, ему можно присвоить я ши к после завершения установки. Для создания пользователей и групп с почтовым яшиком и адресом электронной почты используется мастер Exchange Task Wizard (Мастер задач Exchange).
Во время установки Exchange Server 2003 программа установки расширяет консоль упраэления Active Directory Users And Computers (Active Directory — пользователи и компьютеры), внедряя поддержку функциональности Exchange Server. При этом к процессу создания учетной записи пользователя добавляется еше один шаг. На этом шаге вы выбираете, создавать или нет почтовый ящик для пользователя (см. рис. 7-1).
Рис. 7-1. Создание почтового ящика
По умолчанию этот флажок установлен, и почтовый ящик для пользователя создается. Если же вы хотите, чтобы у пользователя был только адрес электронной почты, сбросьте флажок м завершите процесс создания пользователя как обычно. Чтобы создать почтовый яшм к, установите флажок и проверьте, что настройки по умолчанию для параметров Server (Сервер) и Mailbox Store (Хранилище почтовых ящиков) верны. Для параметра Server (Сервер) в раскрывающемся списке можно выбрать любой сервер Exchange в организации. Exchange Server 2003, Enterprise Edition, поддерживает создание на сервере нескольких групп хранения (где содержатся хранилища почтовых ящиков), поэтому вы можете выбрать любое хранилище. (Подробнее о группах хранения —— в занятии 2 этой главы.) Сделав свой выбор, завершите создание учетной записи пользователя ,как обычно.
Для предоставления адреса электронной почты существующей учетной записи служ* бы, группе или контакту используется процедура, практически аналогичная созданию почтового ящика. Правой кнопкой мыши щелкните желаемый пользователь, группу или контакт в консоли derive Directory Users And Computers (Active Directory —* пользователи и компьютеры) и в контекстном меню выберите Exchange Tasks (Задачи Exchaoge).
Будет запущен мастер Exchange Task Wizard (Мастер задач Exchange). В зависимости от существующих настроек объекта вы сможете выбрать различные задачи, как показано на рис. 7-2.
Exchange Tmk Wizard
Av&il»ble T ask*
The folovmg 店 a E裁 of tasks that can be applied I。one а теме N the «efecled obiecl* Seteci Ihe desired task and a。，* Next
$&ect a lask to perform: 』| 口cate M/lb。*
Etlablish E-m«IAddie$$
4 Remove Exchange AlUbutec
-Task Daicriptian-1 ■———
Establish ал 3etnd e-mal addien for uie>* and coridcte
《旦ack II Cancel」
Рис. 7-2* Страница мастера Exchange Task Wizard с доступными задачами
Чтобы предоставить объекту адрес электронной почты, в списке задач выберите Establish E-Mail Address (Назначить электронный адрес) и щелкните Next (Далее). Следующая страница мастера ——это страница Establish E-Mail Address (Назначение электронного адреса), показанная на рис. 7-3. Здесь перечислены текущие свойства почты объекта.
Рис. 7-3. Свойства почты выбранного объектаРис. 7-3. Свойства почты выбранного объекта
Рис. 7-3. Свойства почты выбранного объекта
Рис. 7-3. Свойства почты выбранного объекта
Если щелкнуть Modify (Изменить), откроется страница New E-Mail Address (Создание электронного адреса), показанная на рис, 7・4, с просьбой выбрать тип создаваемого адреса электронной почты.
Рис. 7-4. Выбор типа адреса электронной почты
Сделанный выбор определяет, какая страница настроек откроется следующей. На рис. 7-5 показан пример настройки адреса Simple Mail Transfer Protocol (SMTP).
Рнс. 7-5. Настройка адреса SMTP для объекта с адресом электронной почты
После того как вы завершите настройку адреса, объект появится в списке GAL для организации Exchange.
Управление почтовыми ящиками
После того как вы создали организацию Exchange с пользователями, имеющими почтовые ящики, необходимо выполнить несколько адмшп!стративных задач по управлению организацией. Некоторые распространенныс задачи Exchange, относящиеся к управлению почтовыми ящиками:
удаление почтового ящика;
повторное подключение почтового ящика в AD;
скрывание почтовых ящиков из GAL;
модификация адресов электронной почты;
нас!ройка ограничений хранения;
настройка разрешений для почтовых ящиков;
настройка ограничений доставки;
перенаправление почтовых яшиков на другие адреса электронной почты;
перемещение почтовых яшиков в другие группы хранения или серверы.
Удаление почтового ящика
Могут возникнуть ситуации, когда почтовый ящик понадобится удалить из организации Exchange. Обычно при этом удаляется и учетная запись пользователя (например, работника, уволившегося из компании). Гораздо реже почтовый яшик удаляется с сохранением учетной записи пользователя. Exchange Server 2003 позволяет выполнить любую из этих задач.
Если вы удаляете учетную запись пользователя, то одновременно можно удалить и почтовый ящик. В консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры) выберите пользователей, которых хотите удалить, и удалите их. Вам нужно будет указать, следует ли удалить дополнительные связанные объекты этого объекта AD (в данном случае, почтовый ящик Exchange).
Помимо этого, можно удалить только почтовый ящик существующей учетной записи пользователя, не удаляя саму учетную запись. Для этого воспользуйтесь мастером Exchange Task Wizard (Мастер задач Exchange) утилиты Exchange System Manager (Диспетчер системы Exchange). Чтобы запустить мастер в Exchange System Manager (Диспетчер системы Exchange), перейдите к папке Mailboxes (Почтовые ящики) в хранилище почтовых ящиков сервера, где находится учетная запись, щелкните почтовый ящик правой кнопкой мыши, в контекстном меню выберите Exchange Tasks (Задачи Exchange) и щелкните Delete Mailbox (Уцалнть почтовый ящик). Этот процесс показан на рис. 7-6.
Сохранение удаленного почтового ящика
В Exchange Server 2003 по умолчанию включена функция сохранения удаленного почтового ящика ——Deleted Mailbox Retention (Сохранение удаленного почтового ящика). При удалении почтового ящика Exchange Server 2003 помечает его как удаленный, но перманентное удаление не производится в течение 30 дней. Период сохранения можно настроить, он задается на уровне хранилища почтовых ящиков, как показано на рис. 7-7. Откройте страницу свойств почтового ящика, щелкнув правой кнопкой мыши нужное
Рис. 7-6. Уа^леиие почтового ящика при помощи мастера Exchange Task Wizard
хранилище (обратите внимание на путь на рис. 7-6) и в контекстном меню выбрав пункт Properties (Свойства).
Рис. 7-7. Настройка периода Deleted Mailbox Retention
В любой момент до окончания периода сохранения можно снова восстановить почтовый яшик. Для этого ящик нужно просто заново подключить. Этому вопросу посвящен следующий раздел главы.
Совет Параметры Deleted Mailbox Retention (Сохранение удаленного почтового яшм- ка) и Deleted Item Retention (Сохранение удаленного сообщения, подробнее о нем далее в этом занятии) — это не одно и то же, и не следует их пугать. Параметр Deleted Mailbox Retention (Сохранение удаленного почтового ящика) относится только к удаленным почтовым яшикам, тогда как Deleted Item Retention (Сохранение удаленного сообщения) относится к отдельным удаленным элементам, входящим в состав почтового я шика.
В ежедневной практике чаще используется параметр Deleted Item Retention (Сохранение удаленного сообщения), а не Deleted Mailbox Retention (Сохранение удаленного почтового ящика). Если задан период Deleted Item Retention (Сохранение удаленного сообщения), пользователи могут восстанавливать элементы» удаленные в клиенте Outlook из папки Удаленные (Deleted Items). Этот «второй шанс* позволяет пользователям вернуть элементы, которые в почтовых ящиках представляются уже удаленными. С другой стороны, параметр Deleted Mailbox Retention (Сохранение удаленного почтового ящика) добавляет удобства администраторам, так как позволяет восстанавливать удаленные почтовые ящики пользователей, не прибегая к полному восстановлению всего хранилища почтовых ящиков из резервной копии.
Параметр purge утилиты Exchange System Manager (Диспетчер снстсмы Exchange) имеет преимущество перед периодом Deleted Mailbox Retention (Сохранение удаленного почтового ящика). Чтобы полностью удалить почтовый ящик, помеченный как удаленный, щелкните его правой кнопкой мыши в папке Mailboxes (Почтовые ящики) хранилища почтовых яшиков, а затем в контекстном меню выберите команду Purge (Очистка). Этот параметр полезен, если вы знаете, что почтовый ящик вам больше не пока* добится, и хотите освободить занимаемое им пространство.
Внимание! Если вы полностью удалите почтовые ящики, то восстановить их можно будет только из резервного архива. Это верно и для почтовых ящиков, период сохранения которых истек.
Повторное подключение почтового ящика в Active Directory
Повторное подключение почтового ящика — это процесс связывания почтового ятнка, помеченного как удаленный, с действующей уч стой записью пользователя. Эту задачу может потребоваться выполнить в нескольких ситуациях. Например, вы случайно уда* лили учетную запись пользователя и связанный почтовый ящик из AD. Или же если сотрудник покинул компанию, и вам необходимо связать его почтовый ящик с другой учетной записью пользователя (напрммер, сотрудника, пришедшего на замену). Повторное подключение почтового ящика, помеченного как удаленный, производится в утилите Exchange System Manager (Диспетчер системы Exchange). Если вы собираетесь заново подключить почтовый ящик к случайно удаленной учетной записи пользователя, сначала удостоверьтесь, что вы восстановили или заново создали учетную запись.
Примечание Пытаясь выполнить эту задачу в тестовых условияхэ вы можете обнаружить, что параметр Reconnect (Подключить повторно) недоступен (затемнен). Это может произойти, если Exchange Cleanup Agent (Агент очистки Exchange) еще не отразил сведения об удалении в AD. Можно сразу же запустить Exchange Cleanup Agent (Агент очистки Exchange), правой кнопкой мыши щелкнув в хранилище почтовых ящиков папку Mailboxes (Почтовые ящики) и в контекстном меню выбрав команду Run Cleanup Agent (Запустить агент очистки). Обновите информацию, и вы должны увидеть, что удаленный почтовый ящик помечен красным крестом.
Откройте Exchange System Manager (Диспетчер системы Exchange) и перейдите к папке Mailboxes (Почтовые ящики) в хранилище почтовых ящиков на сервере Exchange. Щелкнув папку Mailboxes (Почтовые ящики), вы увидите все почтовые яшики этого хранилища в списке на панели содержимого консоли.
Внимание! Если в тестовых условиях вы создаете учетные записи пользователей с почтовым ящиком в консоли Active Directory Users And Computers (Active Directory — пользователи н компьютеры), то вас может удивить, что почтовые ящики для только что созданных учетных записей не появляются в этом окне. После того как пользователь с почтовым ящиком создан, необходимо инициализировать почтовый ящик, отправив в него сообщение, и тогда уже он появится н будет доступен в папке Mailboxes (Почтовые ящики).
Правой кнопой мыши щелкните удаленный почтовый ящик и в контекстном меню выберите команду Reconnect (Подключить повторно). Появится окно с просьбой выбрать нового пользователя для данного почтового ящика (см. рис. 7-8).
Рие. 7-8. Повторное подключение учетной записи пользователя к почтовому ящику
Можно либо ввести имя, либо найти его в AD, пользуясь функциями этого диалогового окна. Выбрав нужную учетную запись пользователя, щелкните ОК для завершения задачи. Exchange уведомит вас, что задача выполнена успешно, и красный крест на почтовом ящике в Exchange System Manager (Диспетчер системы Exchange)
исчезнет.
Скрывание и удаление почтовых ящиков
Зачастую У администраторов аозникаст желание удалить почтовые ящики сотрудников, покидающих компанияю. Однако обычно выясняется, что учетную запись электронной почты сотрудника необходимо сохранить в течение некоторого периода времени, особенно если этот сотрудник напрямую работал с клиентами и покупателями. Скрыв почтовый ящик вместо того, чтобы удалять его, вы гарантируете, что он продолжит получать сообщения и к нему можно будет обратиться в случае необходлмоспг, но в списках адресов Exchange он присутствовать не будет* Помимо этого, вам не придется проверять почтовый ящик сотрудника через пару месяцев после того, как он покинет компанию н период Deleted Mailbox Retention (Сохранение удаленного почтового ящика) истечет Удобно скрывать почтовый яищк на 30—90 дней перед удалением» если только вас не попросили сохранить его в течение более длительного периода времени.
Скрывание почтовых ящиков и адресов из GAL
Как администратор Exchange вм будете создавать почтовые ящики, которые не должны использоваться сотрудниками компании, для особых целей, например, чтобы получать уведомления от антивирусного программного обеспечения. Или *е, в случае уъолънения из компании сотрудника, вы будете сохранять его почтовый ящик на некоторое время, на случай, если ему придет важное сообщение. В любой такой ситуации вам не хотелось бы, чтобы адрес электронной почты попал в GAL, Во-первых, у внутренних пользователей не должно быть шанса случайно отправить сообщения по этим адресам. Во-вторых, такие адреса могут забить список GAL, сделав его неудобным для пользователей.
Чтобы решить эту проблему, Exchange Server 2003 позволяет по необходимости скрывать объекты получателей из GAL. Чтобы скрыть объект из GAL, откройте консоль Active Directory Users And Computers (Active Directory — пользователи и компьютеры) и перейдите к желаемому объекту получателя. Щелкните его правой кнопкой мыши и в контекстном меню выберите Properties (Свойства). Перейдите на вкладку Exchange Advanced (Дополнительно Exchange), показанную на рис. 7-9.
Чтобы скрыть почтовый яшик от GAL, выберите параметр Hide From Exchange Address Lists (Скрыть из списков адресов Exchange). Таким образом, объект не попадет в GAL или другой список адресов Exchange, но все так же сможет получать электронную почту.
Модификация адресов электронной почты
Периодически у вас будет возникать необходимость изменить адрес электронной почты пользователя или добавить для него псевдоним, например в случае, если сотрудница выходит замуж и меняет фамилию. В такой ситуации можно создать псевдоним, чтобы пользователь мог постепенно перейти на новый адрес. Например, если сотрудница Nicole Caron меняет имя на Nicole Holliday, а ее адрес был ncaron@conToso.com, то можно просто изменить адрес электронной почты на nholliday@contoso.com, но если кто-либо попытается отправить пиъемо на предыдущий адрес, т。в ответ получит толь-
й₽Л»й₽Л»Рис. 7-9* Скрывание получателе из GALРис. 7-9* Скрывание получателе из GAL
й₽Л»
й₽Л»
Рис. 7-9* Скрывание получателе из GAL
Рис. 7-9* Скрывание получателе из GAL
ко опет о невозможности доставки. Следовательно, лучше создать для Николь второй адрес SMTP и сделать адрес nholliday@contoso.com адресом по умолчанию. Таким образом, девушка будет отвечать на письма со своего нового адреса, но в то же время сможет получать письма, отправленные на адрес ncaron@contoso.com, и вам не потребуется проводить дополнительную настройку.
Чтобы создать псевдоним, сделайте следующее.
Откройте консоль Active Directory Users And Computers (Active Directory — пользователи и компьютеры) и отредактируйте свойства нужной учетной записи пользователя.
Перейдите на вкладку E-Mail Addresses (Электронные адреса). Вы увидите список настроенных адресов электронной почты для этого пользователя.
Щелкните New (Создать), чтобы открыть диалоговое окно New E-Mail Address (Создание электронного адреса), показанное на рис. 7-10. Здесь перечислены типы адресов электронной почты, которые вы можете настроить.
Рис. 7*10* Настройка типов адресов электронной почтыРис. 7*10* Настройка типов адресов электронной почты
Рис. 7*10* Настройка типов адресов электронной почты
Рис. 7*10* Настройка типов адресов электронной почты
Выберите SMTP Address (Адрес SMTP) и щелкните ОК. Теперь введите новый адрес электронной почты и щелкните ОК.
Как показано на рис. 7-11, теперь для пользователя перечислено два адреса SMTB Адрес, выделенный полужирным шрифтом, является основным, то есть будет использоваться при отправке электронной почты из этого интерфейса (в данном случае SMTP). Адрес* написанный обычным шрифтом, — это псевдоним (также называемый дополнительным адресом), то есть пользователь будет получать письма, отправленные на этот адрес, но при отправке писем он использоваться не будет.
Рис. 7-11. Настроенные адреса электронной почты для объекта получателя
Если необходимо» можно задать несколько дополнительных адресов, но основными могут быть только по одному адресу каждого типа. Напрнмср, у вас может быть три адреса SMTP и два адреса Х.400, но только один адрес SMTP и один адрес Х.400 могут быть основными. Чтобы задать основной адрес, выделите его и щелкните Set As Primary (Сделать основным). Вы увидитеt что этот адрес будет выделен полужирным шрифтом, а адрес, ранее бывший основным» теперь будет написан обычным шрифтом.
Настройка ограничений хранения
Одним из аспектов администрирования Exchange Server 20031 зачастую вызывающим трения между пользователем и администратором, являются дисковые ограничения. С учетом общей направленности компаний на увеличение продуктивности и количества электронных сообщений» которое ежедневно получает среднн甘 пользователь, очень часто почтовые яшики заполняются ненужными письмами, так как пользователям трудно выбрать время, чтобы привести почтовые ящики в порядок (либо их не научили, как это правильно сделать). В больших организациях такая ситуация может привести к заметному увеличению времени, затрачиваемого на резервное копирование м восстановление. В небольших и средних компаниях управление почтовыми ящиками может поставить выбор между Exchange Server 2003, Standard Edition (в этой версии макси-
мяльный размер хранилища почтовых ящиков равен 16 Гбайт) и более дорогой (и намного более разносторонней) версией Exchange Server 2003, Enterprise Edition.
Exchange Server 2003 обеспечивает достаточную гибкость в настройке ограничений хранения. Можно выбрать единые ограничения для всего хранилища почтовых ящиков или установить их для определенных пользователей с почтовыми ящиками. Аналогично, можно пере опред ел ить глобальные настройки, установленные на уровне хранилища» для отдельных пользователей, которым требуются другие ограничения. Это полезно, если, напрнмер, в системе есть пользователь с почтовым ящиком, регулярно получающий сообщения с приложенными файлами, и вы не хотите, чтобы на него действовали те же ограничения, что и на обычные почтовые ящики. Ограничения хранения можно настраивать тремя способами:
для отдельных почтовых ящиков;
для отдельных хранилищ почтовых ящиков;
в виде политики хранилищ почтовых яшиков.
Настройка ограничений хранения для отдельных почтовых ящиков
Ограничения хранения для отдельных почтовых ящиков настраиваются на странице свойств учетной записи пользователя в консоли Active Directory Users And Computers (Active Directory ——пользователи и компьютеры).
L В консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры) правой кнопкой мыши щелкните учетную запись пользователя, для которой хотите задать ограничения хранения, и в контекстном меню выберите Свойства (Properties).
Перейдите на вкладку Exchange General (Общие Exchange), затем щелкните Storage Limits (Ограничения хранения), чтобы открыть диалоговое окно Storage Limits (Ограничения хранения), показанное на рис. 7-12.
Рис. 7-12. Замена ограничений хранилища по умолчанию
8 Зак 450
Чтобы переопределить настройки хранилища почтовых ящиков, сбросьте флажок Use Mailbox Store Defaults (Использовать настройки хранилища почтовых ящиков по умолчанию). Установите флажки длх параметров, которые хотите настроить, и введите подходящие значения. Можно настроить следующие параметры ограничений хранения:
Issue Arning At (КВ) [ Предупреждать при превышении (КБ)] когда объем почтового 51щика достигает указанного порога, пользователь автоматически получает сообшение от системного администратора, предупреждающее, что лимит хранилища превышен, В этом сообщении также содержатся подробности об установленном ограничении и текущем размере почтового ящика. Частоту отправки автоматических сообщений можно настроить б Exchange System Manager (Диспетчер системы Exchange), но по умолчанию они рассылаются каждую полночь;
Prohibit Send At (КВ) [Запретить отправку при превышении (КБ)] некоторые пользователи не обращают внимания на предупреждения, особенно если они стараются сохранять размер почтового ящика близким к установленному для них лимиту. Можно настроить пороговое значение так, чтобы при его превышении пользователь не мог отправлять сообщения, пока не очистит почтовый ящик;
口 Prohibit Send And Receive At (KB) [Запретить отправку н получение при превышении (КБ)] если заданный порог будет превышенt то почтовый ящик не будет получать или отправлять электронную почту, пока его размер не будет уменьшен. Следует использовать этот параметр с особой осторожностью, особенно если пользователь, которому принадлежит почтовый ящик, постоянно общается с клиентами и покупателями. Однако может быть полезно изменить ограничение так, чтобы почтовый ящик мог принимать, но не отправлять электронные сообщения, например, чтобы у злоумышленника не было возможности забить все дисковое пространство, отправляя на один адрес письма с большими вло*енм- ямн. Если вы решите использовать этот параметр, то следует выбрать значение, намного превышающее порог, при котором отправляется предупреждение, чтобы не возникла ситуация, когда пользователь просто не может полнить письмо от администратора;
□ Deleted Item Retention (Сохранение удаленного сообщения) этот параметр описывает период времени, в течение которого элемент хранится после того, как он был удален из папки Deleted Items (Удаленные) почтового ящика. По умолчанию» Exchange Server 2003 хранит удаленные элементы в течение семи дней. Пока не истечет этот интервал, элемент, удаленный из папки Deleted Items (Уцаленные), можно восстановить» щелкнув в клиенте Outlook команду Recover Deleted Items (Восстановить удаленные элементы) меню Tools (Сервис). Можно указать для отдельного элемента другое значение Deleted hem Retention (Сохранение удаленного сообщения), не совпадающее с выбранным для всего хранилища, но обычно в этом нет необходимости. Однако, если вн знаете, что пользователь постоянно удаляет элементы, а затем решает, что они все же ему нужны, то для него можно увеличить значение параметра, чтобы вам нс приходилось тратить врем牙 на восстановление данных из резервного архива.
Настройка ограничений хранения для отдельных хранилищ почтовых ящиков
Настройка ограничений хранения для отдельных хранилищ почтовых яшиков осуществляется из утилиты Exchange System Manager (Диспетчер системы Exchange). Для этого необходимо перейти к хранилищу почтовых ящиков, отредактировать его свойства и перейти на вкладку Limits (Ограничения). В диалоговом окне настройки, показанном на рис. 7-13, есть несколько элементов, которые вы уже видели на рис, 7-12, но также существуют важные отличия.
D««ii I РсЛез I 旧叫
Ggal I 04i4bwi b»^ I FulHNlrdciing |
厂运事期I -
Г £гЫ*Ы』*ЗГ
Г PragUMiscewe 出広BL
Warning лм«»др Gy*
1R5&^，口工10^'3 mm」
-QsWlcn irithe# -^'~—
gMmdf i単也肉p
X*p wplid moCxMf lb 旧爆"8
Г" X 2 poMtncv^ *ie mabcorn W ^«r« si Iha 隔x.hu bow b*ck«f i^
Phc. 7-13. Настройка ограничений хранения на уровне хранилища почтовых ящиков
На рис. 7-13 показаны настройки по умолчанию, выбранные при установке Exchange Server 2003. Обратите внимание, что помимо настройки ограничений хранения для всех почтовых яшиков хранилища можно настроить и параметры Deletion settings (Параметры удаления). Здесь вы задаете, как долго удаленные почтовые ящики сохраняются перед окончательным удалением и как долго сохраняются элементы почтовых ящиков. Настройка этих параметров упрошает жизнь администратору Exchange, которому приходится восстанавливать почтовые ящики или сообщения после случайного удаления.
Также в этом диалоговом окне настраивается расписание отправки автоматических предупреждений Exchange Server 2003 в почтовые ящики, превысив 1иие заданные ограничения хранения. По умолчанию сообщения отправляются каждую полночь. Щелкнув раскрывающийся список, можно выбрать одно из предустановленных расписаний или создать пользовательское расписание, отвечающее вашим требованиям (например, чтобы рассылать предупреждения несколько раз в день или в момент, не указанный в стандартном списке).
Настройка ограничений хранения при помощи политик хранилища почтовых ящиков
Настройка ограничений хранения на уровне хранилища почтовых ящиков упрощает администрирование Exchange, так как вам не приходится задавать лимиты для каждого почтового ящика по отдельности. Но что делать, если вы управляете большой орган и ^ заимей Exchange с 50 хранилищами почтовых ящиков по всему миру и вам нужно задать одинаковые ограничения хранения для всех них? К счастью, вам нс придется отдельно
настраивать каждое хранилище. Exchange Server 2003 позволяет упростить администрирование нескольких хранилищ почтовых ящиков, внедрив политики.
Можно настроить одну политику хранилища почтовых ящмков и применить ее ко всем хранилищам, входящим в административную группу. Помимо этого, можно скопировать политику в другую административную группу, чтобы не повторять тот же процесс настройки. Для создания политики хранилища почтового ящика сделайте следующее.
Откройте Exchange System Manager (Диспетчер системы Exchange). По умолчанию в административной группе нет контейнера для системных политик, поэтому, если ранее вы не создавали политики, у вас не должно быть папки политик. Чтобы создать папку, правой кнопкой мыши шелкнитс контейнер административной группы, в которую входит ваш сервер, в контекстном меню выберите пункт New (Создать), затем щелкните System Policy Container (Коитейнер для системных политик).
Праной кнопкой мыши щелкните папку System Policies (Системные политики), в контекстном меню выберите New (Создать) и щелкните Mailbox Store Policy (Политика хранилища пинтовых лщнков). Откроется диалоговое окно, показанное на рис. 7r 14, где можно выбрать, какие страницы свойств должны быть доступны в политике. Вы можете спросить, почему бы не сделать доступными все страницы. Однако, так как вы создаете политики для определенных целей, разумнее выбирать только действительно нужные страницы. Учитывая гибкость политик, рекомендуется создавать отдельные политики для разных целей, а не пнтатьс只 учесть все в одной. Это особенно валено в больших организациях, где для управления разными сферами могут потребоваться различные политики. Выберите страницу Limits (Ограничения) и щелкните ОК.
Рис. 7-14* Выбор страниц для политики
Откроется новая политика, и вы сможете сразу же приступить к настройке. На вкладке General (Общие) необходимо ввести имя политики. Выберите описательное название, например Storage Limits.
Перейдя на вкладку Limits (Policy) [Ограничения (Политика)], вы заметите, что содержимое страницы не отличается от содержимого диалогового окна для индиви* дуальных хранилищ почтовых ящиков, показанного на рис* 7-13, Если вы настроили ограничения хранения для индивидуальных хранилищ, почтовых ящиков, то настройки могут отличаться, но доступные параметры те же самые. Настройте политику н щелкните ОК. Вы вернетесь в окно Exchange System Manager (Диспетчер системы Exchange) и увидите в контейнере System Policies (Системные политики) новую политику.
Правой кнопкой мыши щелкните политику н в контекстном меню выберите Add Mailbox Store (Добавить хранилище почтовых ящиков). (Хотя вы уже создали новую политику для хранилища почтовых ящиков, на данный момент она ни к чему не применяется. Необходимо назначить политику хранилищам почтовых ящиков.)
Далее откроется диалоговое окно Select the items to place under the control of this policy (Выберите элементы, контролируемые политикой), показанное на рис. 7-15, где необходимо а вести имя хранилища почтового я шика, к которому вы хотели бы применить эту политику. Если вы знаете имя, то его мо^но просто ввести, но в больших организациях Exchange вам вряд ли захочется вводить названиях всех хранилищ почтовых ящиков. Чтобы открыть список всех доступных хранилищ почтовых ящиков, щелкните Advanced (Дополнительно) — откроется диалоговое окно, показанное на рис. 7-16.
Рис. 7-15. Назначение политики хранилищу почтовых ящиковРис. 7-15. Назначение политики хранилищу почтовых ящиковiSelect the ttems t。place under the conb-d of 前，policyiSelect the ttems t。place under the conb-d of 前，policyРис. 7-16. Поиск хранилищ почтовых ящиков в Active DirectoryРис. 7-16. Поиск хранилищ почтовых ящиков в Active Directory
Рис. 7-15. Назначение политики хранилищу почтовых ящиков
Рис. 7-15. Назначение политики хранилищу почтовых ящиков
iSelect the ttems t。place under the conb-d of 前，policy
iSelect the ttems t。place under the conb-d of 前，policy
Рис. 7-16. Поиск хранилищ почтовых ящиков в Active Directory
Рис. 7-16. Поиск хранилищ почтовых ящиков в Active Directory
Самый простой способ найти хранилище ——это щелкнуть Find Now (Поиск), не вводя никаких данных. Поиск вернет все хранилища почтовых ящиков в вашей административной группе, как на рис. 7-16. Выберите почтовые ящики, к которым следует применить политику, м щелкните ОК. В открывшемся диалоговом окне Exchange Server 2003 подтвердите, что вы хотите добавить хранилище почтовых ящиков к политике.
Завершив добавление хранилищ почтовых ящиков к политике, вы увидите их на панели содержимого э контейнере политики Storage Limits. Дважды щелкните хранилище почтового ящика, чтобы увидеть политику в действии. Например, на рис. 7-17 видно, что, так как политика хранилища почтовых яшиков применяется к серверу Server2, никакие параметры на странице Limits (Ограничения) для отдельных хранилищ почтовых ящиков недоступны. Если политика уже применяется
Рис. 7-17. Действие политик на локальные настройкиРис. 7-17. Действие политик на локальные настройки:卫州:卫州*1ш№ох «ore (bHtVfROZ) РпштЫ*1ш№ох «ore (bHtVfROZ) РпштЫРис. 7-18. Вкладка PoliciesРис. 7-18. Вкладка PoliciesРЕсж N*iwle a w 蜉 3 <МФ 側 m* It that ле r*«i»d hom ракш «пик be I ha glc*p prfdee ac吨 to 齢* 山ectРЕсж N*iwle a w 蜉 3 <МФ 側 m* It that ле r*«i»d hom ракш «пик be I ha glc*p prfdee ac吨 to 齢* 山ectSlaMe LniliSlaMe Lnili
Рис. 7-17. Действие политик на локальные настройки
Рис. 7-17. Действие политик на локальные настройки
:卫州
:卫州
*1ш№ох «ore (bHtVfROZ) РпштЫ
*1ш№ох «ore (bHtVfROZ) РпштЫ
Рис. 7-18. Вкладка Policies
Рис. 7-18. Вкладка Policies
РЕсж N*iwle a w 蜉 3 <МФ 側 m* It that ле r*«i»d hom ракш «пик be I ha glc*p prfdee ac吨 to 齢* 山ect
РЕсж N*iwle a w 蜉 3 <МФ 側 m* It that ле r*«i»d hom ракш «пик be I ha glc*p prfdee ac吨 to 齢* 山ect
SlaMe Lnili
SlaMe Lnili
к какому-либо элементу, невозможно изменить ее при помощи локальных настроек. Перейдите на вкладку Policies (Политики), чтобы увидеть, какие политики действуют на хранилище почтовых ящиков (см. рис. 7-18).
Последний шаг настройки политики — фактически применить ее к выбранному элементу. Вы пока что не сделали этого, хотя уже выбрали хранилища почтовых ящиков, на которые должна действовать политика. Чтобы применить политику; щелкните ее правой кнопкой мыши в окне Exchange System Manager (Диспетчер системы Exchange) и в контекстном меню выберите Apply now (Применить сейчас). Таким образом, к хранилищам будут применяться выбранные вами настройки политики. Старайтесь применять политику вручную, чтобы не позволить вступить в силу случайно сделанным изменениям.
После того как вы создали политику, вам ие нужно заново создавать ее в каждой административной группе, где необходимо применить те же настройки. В Exchange System Manager (Диспетчер системы Exchange) можно просто щелкнуть политику правой кнопкой мыши и перетащить ее из контейнера System Policies (Системные политики) в одной административной группе в контейнер System Policies (Системные политики) в другой административной группе, и после этого выбрать в контекстном меню команду Сору (Копировать). Для завершения копирования примените политику во второй административной группе.
Ограничения хранения
В реальных средах ограничения хранения зачастую бывают источником недопонимания между пользователями и администратором Exchange. Лучше всего ограничения хранения внедрять в момент развертывания организации Exchange, так как, попытавшись ограничить пользователей позже, вы, вероятно, встретите сопротивление.
Чтобы спокойно внедрять ограничения хранения, необходимо обучать и общаться с пользователями, рассказывая нм, как не допускать разрастания почтового ящика и почему это так важно. Пытаясь уменьшить размер почтового ящика, пользователи могут растеряться, удалив множество элементов и даже очистив папку Deleted Items (Удаленные), но не имея возможности узнать, насколько же изменился размер почтового ящика. Покажите пользователям, как проверить размер в Outlook, и объясните, что проблема может заключаться не в количестве электронных сообщений, а в нескольких письмах с большими вложениями. Наупмв пользователей самостоятельно решать свои проблемы, вы не только прибавите им уверенности, но и сделаете свою работу проще.
Настройка разрешений почтовых ящиков
Хотя почтовый ящик обычно назначается только одному человеку, использующему его, может возникнуть необходимость предоставить полномочия на доступ к почтовому ящику и другим людям. Например, менеджеру пришлось уехать из города, и у него в данный момент нет доступа к сети, но ему необходимо, чтобы ассистент отправил из его почтового ящика предложение партнеру. Или же, менеджер по работе с клиентами работает над сделкой, но через несколько дней собирается в отпуск, а руководителю отдела продаж необходимо иметь возможность просматривать почтовый ящик менеджера, так как ему может прийти сообщение, относящееся к сделке.
Разрешения для почтовых ящиков можно разбить на две категории: позволяющие отправлять электронные сообщения от имени другого человека м разрешающие просматривать, редактировать или создавать элементы почтового ящика. Предоставить разрешения Send On Behalf (Посылать от имени, первая категория) может либо администратор [это делается в окне свойств пользователя в консоли Active Directory Users And Computers (Active Directory — пользователи н компьютеры)], либо сам пользователь в клиенте Outlook. Оба метода позволяют выполнить одну и ту же задачу, и, открыв свойства пользователя в любом месте, вы увидите одинаковые настройки. Чтобы предоставить разрешения Send On Behalf (Посылать от имени) при помоши консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры), откройте консоль и сделайте следующее.
Отредактируйте свойства пользователя и перейдите на вкладку Exchange Genera) (Общие Exchange).
Щелкните Delivery Options (Параметры доставки); откроется диалоговое окно, показанное на рис. 7-19.
Рис. 7-19. Предоставление разрешений Send On Behalf
Щелкните Add (Добавить). Откроется обычное диалоговое окно выбора объекта AD, показанное на рис. 7-15. Введите имя другого пользоватсля, которому вы хотите предоставить разрешения Send On Behalf (Посылать от имени), и щелкните ОК. Вы увидите имя этого пользователя в поле Grant This Permission То (Предоставить это право).
Предоставить права на использование почтового ящика также может либо администратор из консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры), либо сам пользователь из клиента Outlook. Однако из консоли невозможно предоставить тот же уровень детализации прав, который доступен в клиенте Outlook, В Outlook можно предоставить права на определенную панку. Например» если ассистенту необходимо создать напоминание о встрече в календаре менеджера, то ему нс обязательно иметь разрешения, позволяющие просматривать папку Inbox (Входящие) менеджера. В консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры) можно предоставить только права, относящиеся к возможности просматривать или модифицировать полномочия или предоставить учетной записи пользователя полный доступ к почтовому ящику.
Чтобы предоставить права на почтовый ящик при помощи консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры), откройте консоль и сделайте следующее,
Отредактируйте свойства пользователя м перейдите на вкладку Exchange Advanced (Exchange дополнительно).
Щелкните Mailbox Rights (Права на почтовый ящик); откроется диалоговое окно, показанное на рис. 7-20.
Pernii55hifts for Willi* Jotxison
MdbwRighh |
&oup or user name*:
C Admini曲ala (CONTOSO\Adwiistrarot|上
fiZANQNYMOUSLOGON
f^ Enterprise Admru (CONTOSOXEnterprise AdmintlI 2JAM“ I Hernove If^ Enterprise Admru (CONTOSOXEnterprise AdmintlI 2JAM“ I Hernove IRermistion* f в D exnain AdnintRermistion* f в D exnain AdnintRead pej/wwlons Change peimk-uors Takeownef^Np Full maibox accest Associated BMternal account Specie FamissiorttRead pej/wwlons Change peimk-uors Takeownef^Np Full maibox accest Associated BMternal account Specie Famissiortt□ □□ИПП Ei回El回口口□ □□ИПП Ei回El回口口Dorrarn AdM>3 (CONTOSOSDornain Adnw]
f^ Enterprise Admru (CONTOSOXEnterprise Admintl
I 2J
AM“ I Hernove I
f^ Enterprise Admru (CONTOSOXEnterprise Admintl
I 2J
AM“ I Hernove I
Rermistion* f в D exnain Adnint
Rermistion* f в D exnain Adnint
Read pej/wwlons Change peimk-uors Takeownef^Np Full maibox accest Associated BMternal account Specie Famissiortt
Read pej/wwlons Change peimk-uors Takeownef^Np Full maibox accest Associated BMternal account Specie Famissiortt
□ □□ИПП Ei回El回口口
□ □□ИПП Ei回El回口口
Fa special pefmissian» or for advanced reumt
Рнс. 7-20. Предоставление прав на почтовый ящик
Можно модифицировать права или добавить еще пользователей и предоставить нм права. Если флажки каких-либо разрешений недоступныt это означает, что разрешения наследуемые и их невозможно изменить здесь.
Предоставить разрешения в Outlook очень просто:
Правой кнопкой мыши щелкните папку к которой хотите предоставить разрешения, например календарь, и в контекстном меню выберите Properties (Свойства).
Перейдите на вкладку Permissions (Разрешения), показанную на рис. 7-2L
卜 alrndar 川叩 ij^ttaM卜 alrndar 川叩 ij^ttaMFemitscnUveLFemitscnUveLMmrtdlraunnMmrtdlraunn!(^TidYcnuU7n!(^TidYcnuU7nРис. 7-21. Предоставление разрешений на пользовательскую папку в OutlookРис. 7-21. Предоставление разрешений на пользовательскую папку в Outlook也 EMWU*«k [меле也 EMWU*«k [мелеГ" F・at« ft нт»Г" Read (Um Г Guta sl/odtt.Г" F・at« ft нт»Г" Read (Um Г Guta sl/odtt.厂 FcMwcmtw「Pjjifer йиЧад「f噌加!■■外？厂 FcMwcmtw「Pjjifer йиЧад「f噌加!■■外？
卜 alrndar 川叩 ij^ttaM
卜 alrndar 川叩 ij^ttaM
FemitscnUveL
FemitscnUveL
Mmrtdlraunn
Mmrtdlraunn
!(^TidYcnuU7n
!(^TidYcnuU7n
Рис. 7-21. Предоставление разрешений на пользовательскую папку в Outlook
Рис. 7-21. Предоставление разрешений на пользовательскую папку в Outlook
也 EMWU*«k [меле
也 EMWU*«k [меле
Г" F・at« ft нт»
Г" Read (Um Г Guta sl/odtt.
Г" F・at« ft нт»
Г" Read (Um Г Guta sl/odtt.
厂 FcMwcmtw
「Pjjifer йиЧад
「f噌加!■■外？
厂 FcMwcmtw
「Pjjifer йиЧад
「f噌加!■■外？
6* Щелкните Add (Добавить). Раскроется список GAL, где можно выбрать всех пользователей, которым в” хотите предоставить разрешения на эту папку. Выберите их и щелкните ОК. Пользователи будут перечислены в списке разрешений.
7. Пользователям предоставляется уровень разрешений, первоначально настроенный по умолчанию, который затем можно отредактировать индивидуально. Еще один вопрос — когда удобнее использовать разрешения для группы вместо нескольких индивидуальных.
Настройка ограничений доставки
Чаще всего параметры ограничения доставки настраиваются на уровне виртуального сервера, а нс почтового ящика, но могут возникнуть ситуации, когда удобнее создать другие ограничения доставки для определенного почтового ящика или группы почтовых ящиков. Ограничения доставки могут относиться к размеру сообщений, отправленных из почтового ящика, к размеру сообщений, отправленных почтовому ящику, и к отправителям, письма которых может получать почтовый ящик. Чтобы настроить ограничения доставки для почтового ящика, отредактируйте свойства пользователя на консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры) и перейдите на вкладку Exchange General (Общие Exchange). Затем щелкните Delivery Restrictions (Ограничения доставки). На рис. 7-22 перечислены доступные параметры.
Возможно, вам понадобится настроить определенные ограничения доставки для почтового ящика, куда направляются отзывы покупателей, например разрешить полу-
Рис. 7-22. Настройка ограничений доставки для почтового ящика
чение только текстовых сообщений. Можно запретить доставку в почтовый яшик писем размером больше 50 Кбайтов, чтобы злоумышленник не мог переполнить почтовый ящик письмами с большими вложениями. Или же можно настроить ограничения доставки для почтового яшика, автоматически отправляющего ответы на полученные сообщения. Настройте ограничение на размер сообщений, чтобы этот почтовый ящик невозможно было использовать для отправки других типов писем.
Пересылка писем из почтовых ящиков на другие адреса электронной почты
Хотя можно предоставить разрешения на почтовый ящик другому пользователю, иногда бывает удобнее пересылать все сообщения из почтового ящика, чем заставлять пользователя следить за двумя разными почтовыми ящиками. Например, если сотрудник покидает компанию и ему необходимо, чтобы почтовый яшик работал еще какое-то время, можно предоставить права на этот почтовый ящик другому пользователю. Однако намного проще пересылать все письма из почтового ящика уволившемуся сотруднику. В этом случае все сообщения, пришедшие в почтовый ящик, автоматически перенаправляются в указанный почтовый ящик, поэтому пользователь может в одном месте получать письма, направленные на оба адреса (отличить их можно, взглянув на адрес получателя в заголовке письма). Также использовать перенаправление можно, например, если менеджер находится за пределами города без доступа к сети и ему необходимо, чтобы ассистент мог своевременно просматривать его почту Ассистенту можно назначить разрешения на папку Inbox (Входящие) менеджера, но тогда он сможет также прочитать все старые сообщения, а это может быть нежелательно. Вместо этого удобнее настроить перенаправление писем в почтовый ящик ассистента, в то же время, оставляя их копии в почтовом ящике менеджера. После возвращения менеджера вы сможете просто выключить перенаправ刀енне.
Чтобы настроить перенаправление сообщений из почтового ящика, сделайте следующее.
Откройте консоль Active Directory Users And Computers (Active Directory —— пользователи и компьютеры) и отредактируйте свойства учетной записи пользователя.
После этого перейдите на вкладку Exchange General (Общие Exchange) и щелкните Delivery Options (Параметры доставки).
В области Forwarding Address (Адрес пересылки) щелкните Forward То (Переслать), затем щелкните Modify (Изменить) и введите имя пользователя, который будет получать сообщения (или найдите его в AD), Щелкните ОК.
Флажок Deliver messages to both forwarding address and mailbox (Доставлять сообщения на адрес пересылки и r почтовый ящик) задает способ перенаправления. Установите его, чтобы новые сообщения получали оба почтовых ящика или сбросьте, чтобы письма перенаправлялись в почтовый ящик без сохранения копий в исходном ящике.
Перенос почтовых ящиков на другие серверы и хранилища почтовых ящиков
По мере роста и изменения организации сотрудники могут переходить из отдела в отдел или переезжать в другие офисы. В зависимости от размера и сложности организации Exchange перемещение сотрудника может вызвать необходимость перенести его почтовый яш и к в другое хранилище почтовых ящиков или даже на другой сервер. В Exchange Server 2003 переместить почтовые ящики очень легко» и это можно сделать несколькими способами.
Перемещение почтовых ящиков при помощи Exchange Task Wizard
Если вам необходимо переместить несколько почтовых ящиков в пределах организации, для этого можно выбрать в Exchange Task Wizard (Мастер задач Exchange) параметр Move Mailbox (Переместить почтовый ящик); откроется страница Move Mailbox (Перемещение почтового ящика), показанная на рис. 7-23*
На рис. 7-23 вы видите текущее расположение почтового я шика. В списках Server (Сервер) и Mailbox Store (Хранилище почтовых ящико») перечислены доступные варианты перем еще ния почтового ящика. На рис. 7-23 почтовый ящик перемещается из первого хранилища почтовых ящиков на сервере Serveri в первое хранилище почтовых ящиков на сервере Server2. После того как вы щелкнете Next (Далее) на этой странице, появится диалоговое окно с просьбой выбрать способ обработки поврежденных сообщений, найденных в процессе переноса (см. рис. 7-24).
Значение по умолчанию — отменить перемещение почтовых ящиков н создать опет. Также можно выбрать вариант продолжения переноса с пропуском поврежденных сообщений. Щелкните на этой странице Next (Далее), чтобы задать время переноса и выбрать, должна ли задача быть прервана, если перенос не завершился. Это стандартная страница создания назначенного задания» Можно настроить перемещение в любое время, например ночью» или указать другое число, или же оставить значение по умолчанию —выполнить немедленно. Если вы оставите значение по умолчанию, то процесс начнется сразу же после того, как вы щелкнете Nexl (Далее)» и вы сможете наблюдать за процессом. Если же вы отложите перенос, то эта задача появится в Task Scheduler (Планировщике заданий).
Mi Exchange Tafk Wward
Move Mailbox
Move maixwei Io organize your users on a dillereni s«v«^
Becaute the conlent of each sauted mailbox wl be transletred, ihe dyration ol thi* ta«k depend* on the tee at each гпаЛЬок
Specify the desfina?»n database by sheeting Ihe server and mafcox itoe. Рик* Next
Current Madbox Store;
ISERVERI /First Slaage Gnx^ailbox Store ISERVERI I
Mailbox 58 ⑶
I 瞬 ti£ 欣^ge G roup/Maatiox .S^fiT 怡 ER'VERWj
Рис, 7-23. Перемещение почтового ящика при помощи Exchange Task Wizard
备 Exchange Task Wk ord
Move Maittra*
Configure how Move Mafoox handev comj(>led rne^s^ges in a mailbox
If corrupted mes««gei ate locwid
G 匕竺egАаййГ^врй^
The mailbox will not be moved.
广 §kjp corrupUrd Kerns and cfeate a laflue reparl
日《C5u$e 8WgE白3 抬什，I *可 be 而4.碉恤1如 %MM 什斯r №w f3$fA!./卽 4hcn/d bdcl'.upihtrs^jfGS с!Х*Ьма
m左*f1П"numb^：北0，门二‘方1配гм I]dg '
the твмгпит nurnba ci cottupldd Sems 值 eMceeded, the тайюх wins* be
《Back I] Caned |
Рис* 7-24. Выбор способа обработки повреждекцых сообщений
Примечание Также запустить мастер Exchange Task Wizard (Мастер задач Exchange) можно из утилиты Exchange System Manager (Диспетчер системы Exchange), В хранилище почтовых ящиков в контейнере Mailboxes (Почтовые ящики) правой кнопкой мыши щелкните почтовый ящик и в контекстном меню выберите Exchange Tasks (Задачи Exchange). Будет запушен тот же мастер, который вы открывали из консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры).
и папок пользователей. Чтобы перенести дополнительные элементы, например удаленные элементы, на которые распространяется период Deleted Item Retention (Сохранение удаленного сообщения), или разрешения папки, можно выбрать соответствующие параметры.
Import Procedure (Процедура импорта) Страница Import Procedure (Процедура импорта), показанная на рис. 7-28, позволяет определить, каким образом данные будут записываться в целевое хранилище почтовых ящиков. Можно скопировать данные в хранилища (при этом будут созданы дубликаты элементов), объединить данные, заменить существующие данные или заархивировать их (при этом после копирования они будут удалены из исходного хранилища).
Рис. 7-28. Страница Import Procedure
Folders (Папки) Страница Folders (Папки), показанная на рис. 7-29, позволяет выбрать, какие папки будут перенесеньь По умолчанию, переносятся все папки почтового ящика, хотя можно выбрать только нужные папки или исключить некоторые.
Dates (Да1ы) На странице Dates (Даты), показанной на рис. 7-30, можно задать перенос только сообщений, написанных между определенными цатами или временем. Это полезно, если у пользователей хранится электронная почта, задания и элементы календаря за многие годы, но вы хотите сохранить только элементы, начиная с определенной даты. По умолчанию выбран перенос всех данных, независимо от даты.
Рис. 7-29. Страница Folders
Рис* 7-30. Страница Dates
□ Message Details (Подробности сообщений) Страница Message Details (Подробности сообщений), показанная на рис. 7-31, позволяет выбрать элементы на основе темы сообщений или названий вложений. Такая возможность полезна, если вы работаете с очень большим почтовым ящиком н хотите извлечь только определенные сообщения.
Рис. 7-31. Страница Message Details
Настроив все параметры, щелкните ОК, затем щелкните Next (Далее) для продолжения работы мастера. Откроется страница Destination Server (Целевой сервер), показанная на рнс. 7-32.
Рис* 7-32. Выбор целевого сервера для перемещения почтовых ящиков
Введите имя целевого сервера, на который будут перемещены почтовые ящики, и щелкните Next (Далее). Откроется страница Mailbox Selection (Выбор почтовых лщм- ков), показанная на рис. 7-33, где можно выбрать, какие почтовые ящики следует перенести. Выберите почтовые ящики и шелкните Next (Далее).
Рис. 7・33・ Выбор олределенныА почтовых ящиков
После этого выберите язык по умолчанию для почтовых ящиков. Если новое расположение находится в той же стране, например США, то, вероятно, во всей организации Exchange используется один язык. Если же вы перемещаете почтовые ящики на сервер с другим языком по умолчанию, то выберите язык из раскрываю- щсся списка и щелните Next (Далее).
После этого выберите папку на сервере Exchange, где будут храниться временные файлы .pst, необходимые для процесса миграции. Выбрав папку, вы увидите сообщение о том, сколько дискового пространства требуется для проведения процесса и сколько места свободно на диске, где находится выбранная папка (см. рис. 7-34).
Рис. 7-34. Выбор папки для хранения временных файлов .pst
Перед тем как начинать процесс миграции» можно сохранить настройки для использования в будущем. Это удобно, если вьт планируете повторить миграцию позже и не хотите заново настраивать все параметры. Сохранив, если необходимо, настрой» ки} щелкните Next (Далее), чтобы начать миграцию. Откроется окно Process Status (Статус процесса), где отображается живая статистика о процессе миграции, включая прошедшее время и количество успешных переносов и сбоев. После завершения операции щелкните Finish (Готово), чтобы закрыть окно. Если во время переноса произошли ошибки, в папке \Exchsrvr\Bin будет создан файл журнала Ex Merge Jog. Можно просмотреть его, чтобы выяснить, какие неполадки возникли в процессе.
Управление группами с адресом электронной почты
Как обсуждалось ранее в этой главе, группы с адресом электронной почты — это обычно группы безопасности и группы распространения AD, которым был назначен адрес электронной почты, и когда на этот адрес отправляется сообщение, оно автоматически рассылается всем членам группы. Присвоение адреса электронной почты существующей группе производится при помощи мастера Exchange Task Wizard {Мастер задач Exchange): выберите в списке задачу Create An E-Mail Address (Создать электронный адрес). Если вы создаете новую группу, то присвоение адреса станет дополнительным шагом процесса, так как Exchange расширяет мастер создания нового объекта, добавляя этап запроса на создание адреса электронной почты и назначения объекта административной группе.
Перед тем как приступать к присвоению группам AD адресов электронной почты, вам необходимо узнать, как области действия групп влияют на функции обмена сообщениями этих групп в Exchange Serve匚 Существует три области действия групп: локальные группы домена, глобальные и универсальные группы.
■ Локальная группа домена Членство в этой группе не публикуется на сервере глобального каталога. Это означает, что пользователи Exchange Server не могут просмотреть список членов локальной группы домена с адресом электронной почты, если их учетные записи находятся не в том домене, которому принадлежит группа.
・ Глобальная группа Членство в этой группе не публикуется на сервере глобального каталога. Это означает, что пользователи Exchange Server не могут просмотреть список членов глобальной группы с адресом электронной почты, если нх учетные записи находятся не в том домене, которому принадлежит группа.
м Универсальная группа Членство в этой группе публикуется на всех серверах глобального каталога в лесу Это означает, что пользователи Exchange Server в любом домене могут просматривать список членов универсальных групп с адресами электронной почты. Если в нашей среде несколько доменов, рекомендуется присваивать адрес электронной почты только универсальным группам, но не локальным группам домена или глобальным группам.
Серверы расширения
Сервер расширения ——это сервер, используемый для разрешения или расширения членства группы с адресом электронной почты, когда группе отправляется сообщение. Из-за ограничений области действия локальных и глобальных групп пользователи
Exchange в одном домене не могут просмотреть списки членов групп в другом домене. Exchange не поддерживает доставку сообщений, отправленных пользователями одного домена, группам, определенным в другом домене. Присваивая адрес электронной почты локальной группе домена или глобальной группе в среде с несколькими доменами, для разрешения членства в группе необходимо использовать сервер расширения. Выбранный сервер расширения должен находиться в том же домене, что и группа с адресом электронной почты. Необходимо указать сервер расширения для каждой группы, отредактировав свойства группы в консоли Active Directory Users And Computers (Active Directory — пользователи н компьютеры) и перейдя на вкладку Exchange Advanced (Exchange дополнительно). Параметр по умолчанию — использовать любой сервер в организации, но в раскрывающемся списке можно выбрать определенный сервер.
Группы распространения на основе запросов
Группы распространения на основе запросов ——это новый тип групп распространения, впервые представленный в Exchange Server 2003. Группа распространения на основе запросов обладает той же функциональностью, что и обычная группа распространения, однако вместо статического членства в группе этот тип группы позволяет динамически составлять список членов (например, всех сотрудников бухгалтерии или всех сотрудников в определенном офисе) при помощи запросов Lightweight Directory Access Protocol (LDAP). Таким образом, если добавить учетную запись пользователя в бухгалтерию, то она автоматически попадет в список распространения на основе запросов для бухгал- терин. Использование этого типа групп может существенно снизить нагрузку на администраторов, вызванную необходимостью поддержки определенных групп распространения, особенно если список членов часто меняется.
Однако у групп распространения есть свои недостатки. Они заметно повышают нагрузку на серверные ресурсы. Каждый раз, когда группе распространения на основе запросов отправляется сообщение, в AD отправляется запрос LDAP, возвращающий список членов группы. Помимо этого, такой тип групп можно создавать только в организации, использующей Exchange Server 2003 или более позднюю версию, причем в основном режиме.
Чтобы создать группу распространения на основе запросов, сделайте следующее,
Откройте консоль Active Directory Users And Computers (Active Directory — пользователи и компьютеры), правой кнопкой мыши щелкните контейнер Users (Пользователи), в контекстном меню выберите пункт New (Создать) и щелкните Query-Based Distribution Group (Группа распространения на основе запросов),
Будет запущен мастер New Object (Создание объекта), на первой странице которого нужно ввести имя группы и псевдоним (по умолчанию, псевдоним группы совпадает с именем). Заполните два поля и для продолжения щелкните Next (Далее).
Следующий шаг состоит в построении запроса LDAP. Для этого необходимо отфильтровать типы адресов, которые необходимо включить в запрос. Также можно указать, в каком контейнере AD должен начать выполняться запрос (все субконтейнеры будут включены автоматически) (см. рис. 7-35). Выберите типы адресов и для продолжения щелкните Next (Далее).
Рис. 7-35. Выбор типов адресов, которые будет возвращать запрос LDAP
Мастер попросит вас подтвердить выбор и после того, как вы щелкнете Finish (Iotobo), создаст группу.
Можно просмотреть результаты работы группы распространения на основе запросов, отредактировав свойства группы з консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры) и перейдя на вкладку Preview (Предварительный просмотр). В области предварительного просмотра будет показано содержимое группы, а также синтаксис запроса LDAR Если результаты не соответствуют вашим ожиданиям, просто перейдите на вкладку General (Общие) и измените запрос, после чего снова просмотрите результаты, чтобы проверить, исправлена ли ошибка.
Ограничение доступа к группам с адресом электронной почты
В определенных ситуациях вам может понадобиться ограничить доступ к группам с адресом электронной почты, разрешив доступ только членам групп. В случае, если вы создали такую группу с определенной целью, например для получения отзывов клиентов, можно ограничить количество нежелательных внутренних сообщений, отправляемых группе. Схожим образом можно запретить пользователям отправлять сообщения группе с адресом электронной почты, если она содержит секретную информацию, как, например, группа, предназначенная только для руководителей компании.
Существует два способа ограничить доступ к группе с адресом электронной почты: скрыть группу и сократить к ней доступ.
Скрывание группы с адресом электронной почты Если скрыть группу с адресом электронной почты, она не будет присутствовать в списках адресов Exchange, поэтому пользователи не смогут найти ее и отправить ей сообщение. Однако пользователи все же смогут отправить сообщение группе, используя ее SMTP-адрес. Чтобы скрыть группу с адресом электронной почты от списков адресов Exchange, отредактируйте ее свойства в консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры) и перейдите на вкладку Exchange Advanced (Exchange допол-
нительно). Выберите параметр Hide Group From Exchange Address Lists (Скрыть группу из списков адресов Exchange). В этом варианте пользователи, которым необходимо использовать данную группу, не смогут найти ее в списках адресов Exchange.
Сокращение доступа к группе с адресом электронной почты Указав для группы с адресом электронной почты пользователей, которым разрешено отправлять сообщения группе или получать письма, отправленные группе, можно определить точный список пользователей, которым разрешено использовать группу. Это более эффективное решение, чем простое скрывание группы, так как оно позволяет показывать группу только людям, которым разрешено ее использовать, но остальные пользователи не смогут отправить письмо этой группе. Список пользователей настраивается на странице Exchange General (Общие Exchange) свойств группы. По умолчанию отправлять сообщения группе может любой пользователь, но можно разрешить это только авторизованным пользователям или определенному списку пользователей.
Примечание Группы предназначены для того, чтобы у пользователей был удобный способ одновременно отправлять сообщения нескольким людям, но они не запрещают выбирать всех членов группы по отдельности и отправлять им сообщения. Таким образом, хотя сокращение доступа к группе делает отправку письма менее удобной, пользователи все так же могут выбрать получателей в GAL и обойти это запрещение.
Лабораторная работа. Настройка объектов получателей
В этой лабораторной работе вы создадите четырех пользователей с почтовыми яшиками, две группы с адресом электронной почты, настроите свойства объектов и перенесете почтовые яшики с одного сервера на другой.
Упражнение 1. Создание объектов получателей
В консоли Active Directory Users And Computers (Active Directory — пользонатели и компьютеры) создайте учетные записи с почтовыми ящиками для следующих пользователей» поместив их в хранилище почтовых ящиков на сервере ServerOl:
Chris Preston;
Kim Akers;
a Alan Shen;
Wilis Johnson.
Создайте в консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры) следующие группы распространения с адресом электронной почты, поместив их в хранилище почтовых яшиков на сервере Server02:
口 Engineering;
口 Marketing.
Добавьте пользователей Chris Preston и Kim Akers в группу Engineering, а пользователей Alan Shen и Willis Johnson — в группу Marketing.
Откройте Outlook и отправьте письмо всем созданным пользователям, чтобы инициализировать их почтовые ящики.
Проверьте наличие почтовых ящиков в Exchange System Manager (Диспетчер системы Exchange), открыв папку Mailboxes (Почтовые ящики) в хранилище, где содержатся эти почтовые ящики.
Упражнение 2, Удаление и повторное подключение почтового ящика
В консоли Active Directory Users And Computers (Active Directory — пользователи н компьютеры) правой кнопкой мыши щелкните пользователя Chris Preston и в контекстном меню выберите команду Exchange Tasks (Задачи Exchange), чтобы запустить мастер Exchange Task Wizard (Мастер задач Exchange).
В списке задач выберите Delete Mailbox (Удалить почтовый ящик) и выполните инструкции мастера, чтобы удалить почтовый ящик Криса,
Откройте Exchange System Manager (Диспетчер системы Exchange) и перейдите к папке Mailboxes (Почтовые ящики) в хранилище, где находятся эти почтовые ящики.
Если почтовый ящик пользователя Chris Preston не помечен красным крестом, правой кнопкой мыши щелкните папку Mailboxes (Почтовые ящики) и в контекстном меню выберите Run Cleanup Agent (Запустить агент очистки), затем обновите содержимое окна.
Правой кнопкой мыши щелкните почтовый ящик пользователя Chris Preston и в контекстном меню выберите Reconnect (Подключить повторно). Выполняйте инструкции по повторному подключению почтового ящика к учетной записи пользователя Chris Preston.
Упражнение 3. Перенаправление писем из почтового ящика
Alan Shen покинул компанию Conloso, Ltd. Перед увольнением он работал над маркетинговым предложением с несколькими клиентам. Теперь его делами займется Willis Johnson, и ему необходимо убедиться, что все электронные сообщения, отправленные в почтовый ящик Алана, будут попадать к нему.
Откройте консоль Active Directory Users And Computers (Active Directory — пользователи и компьютеры) и отредактируйте свойства учетной записи пользователя Alan Shen.
Перейдите на вкладку Exchange General (Общие Exchange) и щелкните Delivery Options (Параметры доставки).
В области Forwarding Address (Адрес для пересылки) выберите Forward lb: (Переслать) н щелкните Modify (Нзменнть), чтобы добавить адрес.
Введите Willis Johnson и щелкните Check Names (Проверить имена). AD найдет учетную запись пользователя и подчеркнет ее. Шелкнитс ОК.
Сбросьте флажок Deliver messages to both to forwarding address And mailbox (Доставлять сообщения на адрес пересылки и в почтовый ящик). Так как Алан более не работает в Contoso, нет необходимости, чтобы в его почтовый ящик попадали новые сообщения,
Щелкните ОК, чтобы закрыть стран и цу свойств учетной записи Alan Shen.
В Outlook отправьте письмо от своего имени пользователю Alan Shen.
Откройте папку Inbox (Входящие) пользователя Willis Johnson, щелкнув File (Файл), Open (Открыть) и Other User4 Folder (Папка другого пользователя). Обратите внимание, что письмо, отправленное пользователю Alan Shen, находится в почтовом ящике Willis Johnson. Откройте папку Inbox (Входящие) пользователя Alan Shen и убедитесь, что в этом почтовом ящике вашего сообщения нет.
Упражнение 4. Перемещение почтового ящика
Чтобы снизить нагрузку на сервер Serveг01, вы решаете перенести нескольких пользователей на сервер Server02.
L Откройте Exchange System Manager (Диспетчер системы Exchange) и перейдите к папке Mailboxes (Почтовые ящики) хранилища почтовых яшиков на сервере ServerOl.
Выберите Willis Johnson и Kim Akers, затем щелкните правой кнопкой мыши и в контекстном меню выберите Exchange lasks (Задачи Exchange).
В списке заданий выберите Move Mailbox (Переместить почтовый ящик).
В раскрывающемся списке серверов выберите ServerO2 и обратите внимание, что теперь выбрано хранилище почтовых ящиков на сервере Serveг02*
Проследите за процессом перемещения почтовых ящиков и закройте окно мастера.
Щелкните папку Mailboxes (По^гговые ящики) на сервере Server02 и проверьте, что в хранилище почтового ящика на этом сервере теперь находятся оба почтовых ящика (возможно, вам понадобится вручную обновить содержимое окна).
Упражнение 5. Ограничение доступа к группе
с адресом электронной почты
L В консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры) отредактируйте свойства группы Engineering.
Перейдите на вкладку Exchange General (Общие Exchange).
В области Message Restrictions (Ограничения сообщений) выберите Accept Messages: From Everyone Except: (Принимать сообщения: от всех кроме:) и добавьте пользователя Alan Shen.
Создайте почтовые профили Outlook для пользователей Alan Shen, Willis Johnson и Kim Akers.
Зарегистрируйтесь в Outlook под именем Kim Akers и отправьте электронное сообщение группе распространения Engineering. Так как Kim является членом группы Engineering, она получит сообщение, отправленное на адрес группы.
Закройте Outlook, смените профиль на профиль пользователя Willis Johnson и войдите в Outlook под его именем. Отправьте сообщение группе распространения Engineering. Закройте Outlook, затем откройте его, используя профиль Kim. Обратите внимание» что она получила сообщение от Willis.
Закройте Outlook и снова откройте его с профилем Alan Shen. Отправьте сообщение группе распространения Engineering. Обратите внимание, что Alan практически сразу же получит от системного администратора отчет о невозможности доставки, и в сообщение будет указано, что у него нет достаточных разрешений для отправки писем на этот адрес.
Занятие 2. Настройка банков сообщений
Хранилище почтовых ящиков — это только часть группы хранения. Служба банка сообщений Exchange Server 2003 управляет на сервере исеми группами хранения, содержащими хранилища общих папок и почтовых ящиков. Группы хранения — это одно из наиболее важных преимуществ, которое Exchange Server 2003, Enterprise Edition имеет перед Exchange Server 200 3, Standard Edition. Exchange Server 2003, Standard Edition, поддерживает только одну группу хранения на сервере» причем в этой группе может быть одно хранилише почтовых ящиков и одно хранилище общих папок. Exchange Server 2003, Enterprise Edition, поддерживает до четырех групп хранения на сервере, и в каждой группе хранения может находиться до пяти баз данных (различных комбинаций хранилищ почтовых ящиков и хранилищ общих папок).
Изучив материал этого занятия, бы сможете
/ понять архитектуру групп хранения;
/ познакомиться с принципами использования нескольких баз данных и групп хранения;
/ добавить группы хранения и базы данных:
/ переместить группы хранения н базы данных Exchange Server 2003.
Продолжительность занятия — около 30.
Знакомство с архитектурой групп хранения
Архитектура хранилища Exchange Server 2003 состоит из баз данных (также называемых банками сообщений), объединенных в группу хранения* Каждая база данных включает два файла: файл в расширенном текстовом формате (файл .cdb) и файл системы потоков (файл .sim). Этммм файлами как единым блоком управляет служба Microsoft Exchange Informal ion Store (Банк сообщений Microsoft Exchange). Также существуют дополнительные файлы, общие для всей группы хранения.
EOO.chk Файл контрольной точки, указывающий, какие транзакции из журнала транзакций уже зафиксированы в базе данных. Е00 указывает первую группу хранения на сервере. Когда вы создаете дополнительные группы хранения, числа в именах файлов увеличиваются на единицу: Е01, Е02 м т. д.
E00.log Текущий журнал транзакций. Exchange Server 2003 сначала записывает данные в журнал транзакций и только после этого в саму базу данных* Такой подход обеспечивает лучшую производительность и масштабируемость.
Mailbox.edb Файл в расширенном текстовом формате. Хотя расширение такого файла — всегда .edb, имя файла определяется в момент создания группы хранения. По умолчанию файлу присваивается имя самой группы хранения.
Mailbox.stm Файл системы потоков. Как и для файла в расширенном текстовом формате, имя файла системы потоков определяется в момент создания группы хранения.
ReslJog Первый из двух резервных журналов транзакций. Резервные журналы необходимы для резервирования части дискового пространства, предоставленного Exchange Server 2003, на случай, если на диске закончится место. Они позволяют службам Exchange Server 2003 в слу'ше переполнения диска выключиться обычным образом, а не в аварийном режиме.
Res2.log Второй резервный журнал транзакций. Размер каждого журнала транзакций равен 5 МбаЙтов.
Tmp.edb Временный журнал транзакций, используемый Exchange Server 2003.
E00tmp.log Когда размер файла E00.log достигает 5 МбаЙтов, он переименовывается и создается очередной файл E00.log. Этот файл E00tmp.log используется для «устранения разрыва*, позволяя сохранить транзакции, произошедшие в процессе переименования файла E00.log.
Файлы xdb н ,stm создаются для каждой базы данных в группе хранения, но для всех баз данных в группе хранения существует только один набор файлов журнала.
Знакомство с использованием нескольких баз данных и групп хранения
В организации Exchange Server 2003 несколько групп хранения можно использовать д-чя различных целей. Одна из наиболее распространенных — резервное архивирование и восстановление. Даже в небольших компаниях размер хранилища почтовых ящиков может достигать 20 Гбайтов, особенно если не используются ограничения хранения. В больших организациях на серверах электронной почты обычно хранится 100 Гбайтов сообщений или даже больше. В Exchange Server 5.5 и более ранних версиях поддержи- вастся только одно хранилище почтовых ящиков (называемое частным банком сообщений). В такой конфигурации все электронные сообщения хранятся в одном файле базы данных* Это приводит к появлению проблем при архивировании и восстановлении данных, в основном при восстановлении. Обычно восстановление данных занимает приблизительно в два раза больше времени, поэтому, если хранилище почтовых ящиков размером 100 Гбайтов архивируется на ленту за 8 часов, можно ожидать, что восстановление в случае сбоя займет приблизительно 16 часов. Так как электронная почта представляет собой жизненно важное приложение, в большинстве случаев такой длительный простой недопустим. И этот временной интервал не включает время, необходимое на замену испорченного оборудования н переустановку или восстановление Windows перед восстановлением Exchange.
Используя несколько баз данных, можно уменьшить размер отдельных хранилищ почтовых ящиков, упростнн, таким образом, управление архивированием и восстановлением, Однако невозможно настроить расписание архивирования для отдельных баз данных, входящих в группу хранения, если вы хотите, чтобы эти задания выполнялись в разное время. Расписание архивирования можно настроить только на уровне группы хранения. Чтобы обойти это ограничение, необходимо использовать несколько групп хранения. Это обеспечит достаточную гибкость для настройки индивидуальных расписаний архивирования для каждой группы хранения.
Помимо этого, если произойдет сбой, хранилища почтовых ящиков можно восстановить по отдельности в выбранном порядке. Например, вы восстанавливаете Exchange
Server 2003, и руководители вашей компании настаивают, чтобы обеспечение работоспособности их электронной почты было первоочередной задачей. Если почтовые ящики руководства хранятся в отдельном хранилище, можно восстановить эту базу данных в первую очередь, а затем продолжить работу над восстановлением остальных почтовых ящиков сотрудников компании. Также, если вы создали несколько баз данных, одну из них можно отключить для проведения профилактических работ или резервного восстановления, не затрагивая работу остальных баз данных. В такой ситуации простой будет распространяться только на часть пользователей, а нс на всех сотрудников компании.
Еще одно преимущество использования нескольких групп хранения заключается в том, что циклическое ведение журналов можно настроить для групп независимо друг от друга. Циклическое ведение журналов (circular logging) — это процесс, позволяющий экономить дисковое пространство за счет повторного использования того же набора файлов журнала, в которых на место старых транзакций записываются новые. Этот вариант отличается от описанного ранее процесса, когда при достижении размера в 5 Мбайт журнал транзакций переименовывается и создается новый журнал. Такое поведение по умолчанию может привести к быстрому заполнению дискового пространство, если резервное копирование производится недостаточно регулярно. Конечно же, необходимо регулярно архивировать данные, как минимум, раз в день. Во время архивирования транзакции фиксируются в базе данных и ненужные файлы журналов удаляются. Если включено циклическое ведение журналов, то выполнить можно только полное резервное копирование. Сама природа циклического ведения журналов не позволяет использовать добавочную или разностную архивацию. В результате, в случае, если у вас возникает необходимость восстановить базу данных, ее можно восстановить только в состоянии на момент последнего полного архивирования.
Внимание! Эта особенность циоического ведения журналов является очень важным ограничением. Настоятельно не рекомендуется использовать циклическое ведение журналов, по крайней мере, если у вас нет насущной необходимости. Например, включить циклическое ведение журналов можно в случае, если на ленточном устройстве архивации произошла ошибка, а на диске недостаточно места, чтобы хранить постоянно увеличивающиеся журналы до замены устройства.
По умолчанию циклическое ведение журналов не включено. Включить его можно только для всех баз данных в группе хранения одновременно. Поэтому, если вам необходимо использовать циклическое ведение журналов в одной базе данных, не включая его для остальных, то для первой базы данных следует создать отдельную группу хранения и настроить циклическое ведение журналов в свойствах этой группы хранения.
Примечание Exchange Server 2003 также поддерживает резервные группы хранения (Recovery Storage Groups)——особый тип групп хранения, который используется только для восстановления баз данных. Подробнее группы Recovery Storage Group обсуждаются в главе 12 ^Архивирование и восстановление», посвященной архивированию и восстановлению Exchange Server 2003.
Добавление групп хранения и баз данных
Перед тем как добавлять новые группы хранения и базы данных, необходимо аккуратно разработать план, так как добавление новых ресурсов существенно увеличит сложность администрирования Exchange Server 2003. Планирование включает определение деловых потребностей относительно инфраструктуры группы хранения, обычно касающихся вопросов резервного архивирования, восстановления и административных требований.
Для добавления группы хранения используется утилита Exchange System Manager (Диспетчер системы Exchange). На каждом сервере, где установлен Exchange Server 2003, может находиться до четырех групп хранения. (Однако помните, что если вы используете Exchange Server 2003 на кластере Cluster Service, то необходимо удостовериться, что группа хранения сможет вместить базы данных с другого узла в случаи сбоя.) Найдите сервер, на котором хотите создать новую группу хранения. Щелкните сервер правой кнопкой мыши, в контекстном меню выберите New (Создать), затем щелкните Storage Group (Группа хранения). Откроется страница Properties (Свойства) для новой группы хранения. В первую очередь необходимо присвоить группе хранения имя. Как только вы начнете вводить имя, Exchange Server 2003 автоматически присоединит к нему путь к каталогу установки и использует его в качестве имен папок для журналов транзакций и для системного пути. (См. рис. 7-36.)
Рис. 7-36. Свойства группы хранения
Пути можно изменить и, вероятно, следует сделать это. Exchange Server 2003, как и предыдущие версии Exchange Server, работает более эффективно, если журналы транзакций и базы данных находятся на разных физических дисках. Этот подход увеличивает надежность восстановления, так как н случае сбоя диска страдают либо только журналы транзакций, либо только базы данных.
Внимание! Если раздел, на котором находятся журналы транзакций, заполнится, то служба Inlbrmaiion Store остановится, чтобы предотвратить повреждение данных. Можно исправить проблему, освободив место на диске и перезапустив службу.
На странице Properties (Свойства) параметр Transaction Log Location (Размещение журнала транзакций) задаст путь к файлам журнала транзакний< Параметр System Path Location (Размещение системного пути) описывает местонахождение хранилища временных н восстановленных файлов. Параметр Log File Prefix (Префикс файла журнала) настроить невозможно, но после того как вы создадите группу хранения, сможете увидеть префикс, например Е01, Е02 и т. д. Параметр Zero Out Deleted Database Pages (Освободить удаленные страницы базы данных) стирает удаленные данные с жесткого диска, но за счет производительности системы. Последний параметр Enable Circular Logging (Включить циклическое ведение журнала) уменьшает объем занятого дискового пространства, повторно используя один журнал транзакций вместо того, чтобы создавать новый по достиже i ши л и м ита в 5 Мбайтов,
Создав группу хранения, вы, вероятно, захотите добавить в нее базу данных. База данных может быть либо хранилищем почтовых ящиков, либо хранилищем общих папок. Чтобы добавить базу данных, правой кнопкой мыши щелкните группу хранения в Exchange Sysie/n Manager (Диспетчер системы Exchange), в контекстном меню выберите New (Создать) и щелкните Mailbox Store (Хранилище почтовых ящиков). Как видно на рис. 7-37, Exchange Server 2003 откроет диалоговое окно Properties (Свойства).
Примечание Создание н управление общими хранилищами и общими папками обсуждается в главе S «Общие папки».
УХУХ
УХ
УХ
General | Databa$«| Lirrals | Full-Text Indexing | Detab] Pofeciet] ^jt №m：p 高3*ne6erg&
口ekuft public MB直
L.\SERVER1\Fm* Stocege GroupVMjfc Folder Slot© IS 一 旦咖抬 ‘ J
Qlfbne address list
|Def«jlOWfiheAddre3tLiti '" Bro^ae”」
「Arcb»# ail meisagec $ent or received b^ тгй1Ьоие« on this Motg
В 2*
P gnU tuppofi S/MIME tignetures
Г UUp^r chin lead EMtagt in a fiMd，md fE
QK ] Qncal I绅 plyI НЫр
Рис. 7・37. Настройка нового хранилища почтовых ящиков
Настройка диска
По причине чрезвычайной важности системы обмена сообщениями для компа^ ний, планирование конфигурации, обеспечивающей отличную производительность я надежность, является первостепенной задачей администратора. Это задача включает не только планирование для Exchange Server 2003, но и для операционной системы Windows. Для сервера Exchange Server 2003, работающего в реальных условиях, следующие конфигурации диска считаются наиболее оптимальными:
Зеркально отображаемый системный диск (RAID-1) Содержит операционную систему и двоичные файлы Exchange Server 2003 (само приложение).
Зеркально отображаемый диск журналов транзакций (RAID-1) Здесь хранятся журналы транзакций для Exchange Server 2003. Вряд ли журналы транзакций имеют большую ценность, чем сами базы данных, когда дело доходит до восстановления после аварии, и RAID-1 является идеальным решением, так как данные автоматически зеркалируются после записи. RAID-1 необходимо реализовать с двумя дисками на разных контроллерах, чтобы избежать задержек во время процедур записи. Производительность массива RAID-1 выше, чем RA1D-5, который лучше подходит для операций вида «одна запись и много считываний»,
Раздел диска базы данных RAID-5 Содержит группу хранения и ее базу данных. RAID-5, обеспечивающий чередование данных на дисках с проверкой четност% хорошо масштабируется (минимальное требование — три диска, но систему можно расширить до 32 дисков) и, в случае использования горячего резервирования (еще одного подключенного лиска, не являющегося в данный момент частью массива RAID), к утере данных ведет только сбой сразу на двух дисках. RAID-5 хорошо подходит для хранения баз данных, так как это надежная система, обеспечивающая лучшую производительность в ситуациях, когда данные считываются намного чаше, чем записываются. Еще один надежный вариант — RAID-0+1, представляющий собой комбинацию чередования данных на дисках (без проверки четности) и зеркалирования. В этом случае создается набор с чередованием RAID-0, и этот набор зеркально отображается. Такая конфигурация обходит основное ограничение RAID", разрешающее использовать максимум два диска* Однако в терминах затрат на оборудование RA1D-0+1 является дорогим решением. Несмотря на хорошее масштабирование, использование зеркоирования приводит к тому, что данные могут записываться только на половину общего дискового пространства.
Такой тип конфигурации необходимо масштабировать по мере увеличения количества групп хранения и баз данных. Для каждой группы хранения, включающей собственный набор журналов транзакций, следует устанавливать отдельный зеркально отображаемый набор дисков, где будут храниться журналы. Схожим образом каждая база данных должна занимать собственный
раздел диска RAID-5 (или RAID-0+I, если иена оборудования не имеет значения). Это гарантирует оптимальный уровень производительности сервера и высокую надежность. Помимо этого, если производительность жестких дисков, установленных на сервере, отличается, лучше всего поместить журналы транзакций на самые быстрые диски.
С точки зрения денежных затрат такая расширенная дисковая конфигурация вряд ли подойдет к любой среде, но ее предназначение ——обеспечить максимальную производите^ьность и надежность.
Некоторые свойства* настраиваемые для хранилища почтовых ящиков, уже обсуждались в этой главе [например, Limits (Ограничения) и Policies (Политики)]. На странице General (Общие) можно настроить такие параметры, как путь к общему хранилищу по умолчанию для базы данных, автономный список адресов, который должны использовать пользователи в данном хранилище почтовых ящиков, а также включить или выключить архиваиию всех отправленных или полученных почтовыми ящиками сооб- шений. Еслм вы включите последний параметр, то будут созданы файлы журнала для регистрации всех входящих и исходящих писем.
После добавления новой базы данных в группу хранения, ею можно управлять как любой другой базой данных. Схожим образом, если вы добавите хранилише почтовых ящиков, то сможете переместить пользователей в новое хранилище почтовых яшиков.
Перемещение групп хранения и баз данных Exchange Server 2003
Во время первой установки Exchange Server 2003 первая создаваемая группа хранения н базы данных помещаются в папку Mdbdata в папке, куда установлено приложение (например, C:\Program flles\Exchsrvr\Mdbdata). Хотя такая конфигурация будет работать» она нс может обеспечить оптимальный уровень производительности н надежности, Exchange Server 2003 работает намного эффективнее, если журналы транзакций и файлы базы данных находятся на отдельных физических дисках (или дисковых массивах). В версиях Exchange Server 5.5 и более ранних существовала утилита Performance Optimizer (Оптимизатор производительности), которая могла проанализировать сервер и пореко- миндовать, куда лучше поместить журналы транзакций и файлы базы данных (группы хранения тогда не существовали). Можно было согласиться с рекомендациями или самостоятельно выбрать расположение (третий зариант — вообще ничего не предпринимать). Performance Optimizer (Оптимизатор производительности) не входит в состав Exchange Server 2003, но вы все так же можете перемещать базы данных.
Для перемещения групп хранения и баз данных используется утилита Exchange System Manager (Диспетчер системы Exchange). Чтобы переместить группу хранения, щелкните ее правой кнопкой мыши и в контекстном меню выберите Properties (Свойства). Перейдите на вкладку Database (Ваза данных), чтобы открыть диалоговое окно, показанное на рис. 7-38. Можно щелкнуть кнопку Browse (Обзор) рядом с параметром Transaction Log Location (Размещение журнала транзакций), чтобы выбрать новую папку. Точно так же можно изменить значение параметров System Path Location (Размещение
системного пути). Помните, что изменение местонахождения журналов транзакций влияет на все базы данных в группе хранения. В результате, на время переноса все базы данных будут отсоединены (переведены в автономный режим). Отсоединение базы данных делает ее недоступной для пользователей. Щелкните ОК; откроется сообщение, предупреждающее вас о том, что выбранные вами задачи требуют временного отсоединения всех баз данных в группе хранения. Щелкните \es (Да) для продолжения (перемещения файлов) или No (Нет) для возврата в диалоговое окно Properties (Свойства).
UlehiCmk Frtnwrth**
Рис. 7-38. Свойства базы данных
Перемещение базы данных аналогично перемещению группы хранения. В Exchange System Manager (Диспетчер системы Exchange) правой кнопкой мыши щелкните базу данных, которую хотите переместить, и в контекстном меню выберите Properties (Свойства). Перейдите на вкладку Database (Ваза данных). В случае базы данных можно переместить файл Exchange Database (.edb) и файл Exchange Streaming Database (,stm). В общем случае* смысла разделять эти файлы нет, поэтому следует оставить их в одной папке. Выберите новое расположение папки и щелкните OK. Exchange System Manager (Диспетчер системы Exchange) запросит подтверждение, как показано на рис. 7-39.
Рис* 7-39. Подтверждение перемещения базы данных
При перемещении группы хранений или базы данных файлы журнала и базы данных можно поместить в любую созданную вами папку. Однако для соблюдения единообразия рекомендуется создать файловую структуру \Exchsrvr\Mdbdata в разделе диска, на который переносятся данные.
9 Зак, 450
Если вы перемещаете данные в другой раздел, необходимо присвоить следующие разрешения по умолчанию новой папке Mdbdata, где будут находиться файлы журнала н файлы базы данных:
Administrators (Администраторы): Full Control (Полный доступ);
Authenticated Users (Прошедшие проверку): Read and Execute (Чтение и выполнение), List Folder Contents (Содержание папки), Read (Чтение);
Creator Owner (Владелец-создатель)： нет;
Server Operators (Операторы сервера): Modify (Изменить), Read and Execute (Чтение и выполнение), List Folder Contents (Содержание папки), Read (Чтение), И?〃е (Запись);
System (Система):尸〃〃 Control (Полный доступ).
Перемещение файлов журнала или базы данных делает недействительными все существующие добавочные н разностные архивы, поэтому после перемещения рекомендуется выполнить полную архивацию.
Лабораторная работа. Настройка банков сообщений
В этой лабораторной работе вы создадите новую группу хранения и хранилища почтовых ящиков. После этого вы переместите группу хранения в новое расположение и пронаблюдаете затем, как эти изменения повлияют на базы данных, входящие в группу хранения, и на создание новых баз данных.
Упражнение 1. Создание группы хранения
В меню Start (Пуск), выберите AJ1 Programs (Все программы), затем Microsoft Exchange и щелкните Exchange System Manager (Диспетчер системы Exchange).
Перейдите к серверу Exchange Server 2003, на который планируете добавить группу хранения. Щелкните сервер правой кнопкой мыши, в контекстном меню выберите New (Создать) и щелкните Storage Group (Группа хранения).
В качестве имени введите MIS. Пока что оставьте все настройки по умолчанию, но обратите внимание, что пути к файлам журналов транзакций представляют собой корневую папку Exchange Server 2003 плюс имя группы хранения, например C:\Pro- gram files\Exchsrvr\Mis. Щелкните ОК.
На сервере должна быть создана новая группа хранения.
Упражнение 2. Добавление хранилищ почтовых ящиков
Правой кнопкой мыши щелкните группу хранения MIS, в контекстном меню выберите New (Создать) и шелкните Mailbox Store (Хранилище почтовых ящиков).
В качестве имени введите HeipDesk* Остальные настройки оставьте по умолчанию и щелкните ОК.
Повторите процесс и создайте хранилища почтовых ящиков для Sys Adm и Engineering.
Найдите новые хранилиша почтовых яшиков в группе хранения MIS.
Упражнение 3. Перемещение группы хранения
Если у вас есть раздел жесткого диска D, создайте структуру папок D:\Exchsrvr\Mis. Если у вас есть только раздел С, для выполнения этого упражнения создайте структуру папок, аналогичную C:\Exchsrvr\Mis. Данное упражнение подразумевает, что в системе есть два физических лиска, настроенных как С м D.
Правой кнопкой мыши щелкните группу хранения MIS в Exchange System Manager (Диспетчер системы Exchange) и в контекстном меню выберите Properties (Свойства).
Так как журналы транзакций и файлы базы данных должны быть на разных физических дисках, переместить нужно либо один набор файлов» либо другой. Базы данных обычно занимают больше дискового пространства, чем журналы транзакций, поэтому измените значение параметров System Path Location (Размещение системно* го пути). Для этого щелкните Browse (Обзор) м выберите D:\Exchsrvr\Mis; дважды щелкните ОК. В окне сообщения с просьбой продолжить щелкните Hs (Да), Все базы данных в группе хранения будут временно отсоединены, пока процесс не завершится.
Упражнение 4. Перемещение базы данных
Правой кнопкой мыши щелкните хранилище почтовых яшиков HelpDesk н в контекстном меню выберите Properties (Свойства). Перейдите на вкладку Database (База данных). Обратите внимание, что, хотя вы изменили значение параметров System Path Location (Размещение системного пути) для группы хранения, сами базы данных не были автоматически перемещены и находятся в исходном месте.
2* Рядом с параметром Exchange Database (База данных Exchange) щелкните Browse (Обзор) и выберите в качестве нового пути D:\Exchsrvr\Mis\Helpdesk. Щелкните ОК.
Рядом с Exchange Streaming Database (Потоковая база данных Exchange) щелкните Browse (Обзор) к в качестве нового пути выберите D:\Exchsrvr\Mis\Helpdesk. Дважды щелкните ОК, затем щелкните Yes (Да) в сообщении с просьбой продолжить. Ваза данных будет временно отсоединена для выполнения процесса, но это не повлияет на другие базы данных в группе хранения.
Повторите процесс и переместите хранилища почтовых ящиков Sys Adm и Engineering,
Правой кнопкой мыши щелкните группу хранения MIS, в контекстном меню выберите New (Создать) и щелкните Mailbox Store (Хранилище почтовых ящиков). В качестве имени введите Development. Перейдите на вкладку Database (База данных). Обратите внимание, что расположение по умолчанию для Exchange Database (База данных Exchange) и Exchange Streaming Database (Потоковая база данных Exchange) изменилось в соответствии с изменением значений параметров System Path Location (Размещение системного пути) для группы хранения.
Занятие 3. Создание и управление списками адресов и политиками получателей
В Exchange Server 2003 по умолчанию есть только один GAL для всей организации Exchange. В организациях с тысячами пользователей Exchange бывает очень сложно найти в GAL нужннх получателей. Exchange Server 2003 позволяет администраторам создавать дополнительные пользовательские списки адресов, отвечающие требованиям организации, включая автономные списки адресов, которые пользователи могут про- сл!атриватьэ даже если они не подключены к сети* Список адресов — это простой набор объектов AD，сгруппированных по одному или нескольким общим атрибутам (например, по имени отдела). Список адресов может содержать пользователей, контакты, общие папки и группы.
Изучив материал этого занятий) вы сможете:
/ создавать и модифицировать списки адресов;
/ администрировать списки адресов；
/ управлять службой Recipient Update Service;
/ работать с автономными списками адресов;
， создавать и применять политики получателей.
Продолжительность занятия — около 60 минут.
Создание и модификация списков адресов
Списки адресов представляют собой удобный способ фильтрации GAL и разделения глобального списка на более удобные подгруппы. Списки адресов отличаются от списков распространения: невозможно быть членом списка адресов так же, как членом группы. Списки адресов формируются при помощи запросов LDAP, фильтрующих компоненты организации Exchange на основе заданного вами критерия. Обычно списки адресов исполюуются в больших организациях Exchange, состоящих из тысяч пользователей и охватывающих несколько физических офисов. Например, в списке GAL для contoso.com более 10 ООО записей (пользователей с почтовыми ящиками, пользователей с адресом электронной почты, контактов и групп)- У компании 20 физических офисов, в каждом из которых приблизительно по 500 сотрудников и партнеров. Большинство пользователей обмениваются сообщениями только с пользователями в том же офисе. Вместо того чтобы заставлять их искать нужный адрес среди IО ООО записей GAL, можно создать списки адресов, в которые будут входить только пользователи из одного офиса. В таком случае пользователи будут работать с намного меньшим списком.
Еще одна ситуация, в которой удобно использовать списки адресов, — когда вам необходимо быстро находить пользователей в зависимости от их членства в группах, но списки распространения создать невозможно. Примером может быть список адресов, содержащий только сотрудников отделов продаж всех офисов Contoso. Он позволит вице-президенту по продажам и другим сотрудникам открыть список всех сотрудников отделов продаж Contoso* не рассылая сообщение на весь список распространения*
Создание списка адресов
Для создания списков адресов используется утилита Exchange System Manager (Диспетчер системы Exchange). Запустив Exchange System Manager (Диспетчер системы Exchange), шелкните контейнер Recipients (Получатели). К спискам адресов относятся 1ри субконтейнера: All Address Lists (Все списки адресов). All Global Address Lists (Все глобальные списки адресов) и Offline Address Lists (Автономные списки адресов). При установке Exchange Server 2003 и создании организации создаются следующие списки адресов по умолчанию: ■ AU Address Lists:
a All Contacts;
All Groups;
All Users;
Public Folders;
Al! Global Address Lists:
□ Default Global Address List;
■ Offline Address Lists:
口 Default Offline Address List.
Для небольших н средних организаций Exchange Server 2003 обычно бывает достаточно этих списков по умолчанию. Большим организациям, вероятно, потребуются дополнительные списки адресов, отвечающие определенным требованиям. Создание списка адресов начинается с определения, какой тип списка вам необходим и, следовательно, в какой из трех контейнеров список адресов его необходимо поместить. Чтобы создать список адресов в контейнере All Address Lists, сделайте следующее.
Правой кнопкой мыши щелкните All Address Lists (Все списки адресов), в контекстном меню выберите New (Создать) и шелкнитс Address List (Список адресов).
Введите описательное имя списка адресов.
Шелкните Filter Rules (Правила фильтрации), чтобы открыть диалоговое окно Find Exchange Recipients (Поиск: Exchange Recipients).
По умолчанию в фильтр будут включены все получатели Exchange, поэтому перейдите на вкладку Advanced (Дополнительно), чтобы сузить критерий.
Шелкните меню Field (Поле) и выберите тип получателей (User, Contact, Public Folder или Group) и атрибут, по которому будет проводиться фильтрация (например, Depan- ment).
Введите значение атрибута. Например, если вы выбрали Department, то можно задать значение sales,
Щелкните Add (Добавить), чтобы добавить атрибут в список Condition (Список условий) Щелкните ОК, затем щелкните Finish (Готово), чтобы завершить создание списка адресов.
Еше один параметр фильтрации доступен для пользователей с почтовыми ящиками. Перейдите на вкладку Storage (Хранилище) диалогового окна Find Exchange Recipients (Поиск: Exchange Recipients). Здесь можно выбрать, следует ли включать в список почтовые ящики на всех серверах организации Exchange, почтовые ящики на определенном сервере или почтовые ящики в определенном хранилище почтовых ящиков.
После того как вы создадите список адресов, он появится в контейнере в Exchange System Manager (Диспетчер системы Exchange). Правой кнопкой мыши щелкните список адресов и в контекстном меню выберите Properties (Свойства). Откроется диалоговое окно Properties (Свойства), показанное на рис. 7-40, в котором вы увидите запрос LDAR используемый для генерации списка.
Рис. 7-40. Запрос LDAP для списка адресов
В этом примере в список адресов включаются see пользователи, значение атрибута Department которых равно sales. Шелкните Preview (Предварительный просмотр), и вы увидите, как список адресов будет выглядеть в Outlook. На рис. 7-41 показан пример списка адресов.
Рис. 7-41. Предварительный просмотр списка адресов
Модификация списка адресов
Может возникнуть такая ситуация, когда вам потребуется изменить список адресов. Например, вам может понадобиться добавить или убрать пользователей из списка, исправить ошибки или же в списке, включающем пользователей и контактыt оставить только пользователей, Вместо того, чтобы удалять список адресов и создавать его за^ ново, Exchange Server 2003 поззоляет его модифицировать.
Чтобы изменить список адресов, сделайте следующее,
Щелкните список правой кнопкой мыши в Exchange System Manager (Диспетчер системы Exchange) и в контекстном меню выберите Properties (Свойства). Откроется диалоговое окно Properties (Свойства), показанное на рис. 7-40.
Щелкните Modify (Изменить). Откроется то же диалоговое окно Find Exchange Recipients (Поиск: Exchange Recipients), которое вы использовали при создании списка адресов. На рис* 7-42 показана вкладка General (Общие), где можно ограничить типы получателей. Это полезно, если вы хотите исключить определенные типы, например контакты. На рис. 7-43 показана вкладка Advanced (Дополнительно), на которой задаются атрибуты и значения для фильтрации.
Рис. 7-42. Фильтрация списка адресов по типу получателейРис. 7-42. Фильтрация списка адресов по типу получателей嚥 Find Exchange Нссф^епН嚥 Find Exchange Нссф^епНk.'加/k.'加/Fr»tf [Exchange RecipientsFr»tf [Exchange RecipientsGeneral I Storage AdvancedGeneral I Storage Advanced
Рис. 7-42. Фильтрация списка адресов по типу получателей
Рис. 7-42. Фильтрация списка адресов по типу получателей
嚥 Find Exchange Нссф^епН
嚥 Find Exchange Нссф^епН
k.'加/
k.'加/
Fr»tf [Exchange Recipients
Fr»tf [Exchange Recipients
General I Storage Advanced
General I Storage Advanced
Рис, 7-43. Фильтрация списка адресов по атрибутам
Изменив список адресов, можно снова просмотреть его, чтобы убедиться в правильности фильтрации.
Администрирование списков адресов
Большая часть адм ин истрати вн ой работы со списками адресов посвящена созданию н модификации списков. Однако над списками можно производить и другие административные действия, например настроить разрешения на доступ к списку или изменить расписание обновления списка адресов, включив немедленное принудительное обновление.
Настройка разрешений для списков адресов
По умолчанию обращаться к спискам адресов могут все пользователи в организации [у группы Authenticated Users (Прошедшие проверку) есть разрешение List Contents (Содержание папкн)]* Однако могут возникнуть ситуации, когда вам понадобится ограничить доступ к определенному списку адресов, например, чтобы пользователи нс могли с легкость ежедневно отправлять сообщения сразу всем руководителям компании. Запретив доступ к списку адресов, вы нс сможете запретить пользователям отправлять сообщения на эти адреса другим способом, напрнмср, выбрав их в GAL, но они все же не смогут увидеть определенный список адресов н Outlook.
Чтобы настроить разрешения для списка адресов, сделайте следующее,
Правой кнопкой мыши щелкните список адресов в Exchange System Manager (Диспетчер системы Exchange) и в контекстном меню выберите Properties (Свойства).
Перейдите на вкладку Security (Безопасность), показанную на рис. 7-44, где перечислены пользователи и группы с соответствующими разрешениями.
к Propertiesк Properties
к Properties
к Properties
□ □□□□Си□ □□□□СиAdvanced IAdvanced ICancel I ЙР^У IН 咖Cancel I ЙР^У IН 咖Рис. 7-44. Свойства безопасности списка адресовРис. 7-44. Свойства безопасности списка адресов
□ □□□□Си
□ □□□□Си
Advanced I
Advanced I
Cancel I ЙР^У IН 咖
Cancel I ЙР^У IН 咖
Рис. 7-44. Свойства безопасности списка адресов
Рис. 7-44. Свойства безопасности списка адресов
Det^r 5山心1
Gioyp or utar names:
C Asfrmnue承a (CO N T 0 S 0 \Admints(fator] Cawomymous logon
Authenticated Usets
寿 Domain Admmt [CDHT 0 SDSDoman Adnms) 仪 Enlerpnse Admins (CONTOSO\£rtoi№se Admins]
Ajd,.. I Remove I
Eermirsons ia Authenticated UuntAllow Demu
u$t contents
Add/i emove self Read properties Write propertie» DdefB Itee
Lttl oheci
Серый флажок указывает, что разрешения унаследованы от объекта более высокого уровня, в данном случае — контейнера All Address Lists. Можно добавить пользона-
телей “ группы и настроить из разрешения или изменить разрешения для уже присутствующих в списке пользователей и групп.
При выборе разрешений следует соблюдать осторожность, так как членство в группах может привести к нежелательным результатам. Это особенно верно, если вы хоти - те использовать явное разрешение Deny (Запретить), а не просто оставить не установленным флажок Allow (Разрешить).
Внимание! Если список адресов является частью автономного списка адресов, на загрузку которого у пользователя есть разрешения, то он сможет получить доступ к адресам в автономном режиме. Это возможно, даже если ему будет явно запрещено видеть адреса в оперативном режиме.
Обновление списка адресов вручную
Обычно, если вы вносите изменения в список адресов, они реплицируются на остальные серверы Exchange в организации службой Recipient Update Service (Служба обновления получателей)* Репликация осуществляется по расписанию. Однако иногда вам нужно обновить данные до того, как произойдет следующая репликация, и Exchange Server 2003 позволяет вручную включить немедленную репликацию.
Чтобы обновить список адресов вручную, сделайте следуюшее:
Разверните контейнер Recipients (Получатели) н Exchange System Manager (Диспетчер системы Exchange).
Щелкните контейнер Recipient Update Services (Службы обновления получателе#). Обратите внимание, что существуют две службы Recipient Update Services по умолчанию: одна для домена и одна для предприятия. Служба Recipient Update Service для предприятия отвечает за обновление системных объектов, например Message Transfer Agent (Агент передачи сообщений) и System Attendant (Помощник системы). Служба Recipient Update Service для домена обновляет объекты получателей.
Правой кнопкой мыши щелкните службу Recipient Update Service (Служба обновления получателей) для домена и в контекстном меню выберите Update Now (Обновить). Это позволит немедленно реплицировать все изменения, внесенные в список адресов. Иначе, можно щелкнуть Rebuild (Создать заново), но при этом вместо обновления все списки адресов будут созданы заново.
Управление службой Recipient Update Service
Служба Recipient Update Service (Служба обновления получателей) предназначена для обеспечения правильности списков адресов. Она обновляет списки в организации, отражая вес внесенные изменения. Необходимо установить службу Recipient Update Service (Служба обновления получателей) в каждом домене в организации Exchange Server 2003，но это лишь минимальное требование. В домене может быть несколько экземпляров службы Recipient Update Service (Служба обновления получателей), и такую конфигурацию удобно использовать, если домен объединяет несколько сайтов AD. Создаете ли вы новую службу Recipient Update Service (Служба обновления получателей) или модифицируете существующую, настройки остаются теми же. На рис. 7-45 пока*
зан。диалоговое окно свойств Recipient Update Services Properties (Свойства службы обновления получателей). Чтобы открыть его, разверните контейнер Recipient Update Services (Службы обновления получателей) в утилите Exchange System Manager (Диспетчер системы Exchange), на панели содержимого щелкните правой кнопкой мыши Recipient Update Service (Служба обновления получателей) и в контекстном меню выберите Properties (Свойства).
Рис. 7-45. Диалоговое окно Recipient Update Service Properties
Можно настроить следующие параметры:
Domain (Домен) Домен, который обслуживает служба Recipient Update Service (Служба обновления получателей).
Exchange Server (Сервер Exchange) Сервер Exchange, на котором работает служба Recipient Update Service (Служба обновления получателей)*
Wndows Domain Controller (Контроллер домена Windows) Контроллер домена, с которым служба Recipient Update Service (Служба обновления получателей) будет связываться при обновлении AD.
Update Tnterval (Интервал обновления) Расписание, согласно которому служба Recipient Update Service (Служба обновления получателей) будет обновлять списки адресов. Значение по умолчанию ——Always Run (Всегда запущена), то есть, как толь-
ко вносится какое-либо изменение, служба Recipient Update Service (Служба обновления получателей) немедленно производит обновление. Можно щелкнуть раскрывающееся меню и выбрать другой интервал или щелкнуть Customize (Настроить) и создать собственное расписание. Если оставить параметр Always Run (Всегда запущена), это может привести к увеличению сетевого трафика в случае, когда в списки адресов часто вносятся изменения, и иметь отрицательный эффект на общую производительность.
Служба Recipient Update Service (Служба обновления получателей) создается в домене автоматически во время установки Exchange Server 2003, если другого экземпляра службы еще не существует* В доменах, где нет серверов Exchange Server 2003, но есть серверы Exchange Server 5.5, являющиеся частью организации, необходимо вручную создать службу Recipient Update Service (Служба обновления получателей). Для этого сначала выполните в домене утилиту Domain Prep. После этого запустите Exchange System Manager (Диспетчер системы Exchange), правой кнопкой мыши щелкните Recipient Update Services (Службы обновления получателей), в контекстном меню выберите New (Создать) и щелкните Recipient Update Service (Служба обновления получателей). Выберите домен для службы Recipient Update Service (Служба обновления получателей) и настройте остальные параметры.
Работа с автономными списками адресов
Автономные списки адресов — это не уникальные списки. Это значит, что они не отличаются от обычных оперативных списков адресов. Автономные списки адресов предназначены для того, чтобы пользователи, не подключенные к сети, также моглн находить адреса в списке. Обычно такие списки используются мобильными пользователями, удаленно синхронизирующими свои почтовые ящики, например, находясь в отеле и подключившись по телефонной линии. Эти пользователи могут отключиться от сети и работать с Outlook автономно, чтобы сэкономить деньги, подключившись снова только затем, чтобы за один раз отправить все письма. Автономные списки адресов позволяют пользователям удобно работать со списками адресов при написании сообщений, даже если они не подключены к сети.
Автономный список адресов не должен в точности повторять оперативный список адресов. То есть, не обязательно выбирать все адреса в оперативном спмскс и делать их доступными автономно. Exchange Server 2003 настраивает список адресов Default Offline Address List (Автономный список адресов по умолчанию) во время установки на первом сервере в организации. По умолчанию в автономном режиме доступен только список Default Global Address Lisi (Глобальный список адресов по умолчанию). На рис. 7-46 перечислены свойства списка Default Offline Address List (Глобальный список адресов по умолчанию).
Рис. 7-46. Свойства списка Default OHline Address List
Можно настраивать следующие параистры:
Offline Address List Server (Сервер автономного списка адресов) Сервер, на котором хранится автономный список адресов. Этот спнсок можно сохранить на любом сервере Exchange Server 2003 в организации.
Address Lists (Списки адресов) Списки адресов, связанные с данным автономным списком адресов. Можно добааить или удалить списки при помощи кнопок Add (Добавить) и Remove (Удалить).
Update Interval (Интервал обновления) Расписание, согласно которому служба Recipient Update Sennce (Служба обновления получателей) обновляет список адресов a AD,
Exchange 4.0 and 5.0 Compatibility (Совместимость с Exchange 4.0 и 5*0) Некоторые функции списков адресов Exchange Server 2003 совместимы только с версиями Exchange Server 5,5 и более поздними. Установив этот флажок, можно обеспечить совместимость с предыдущими версиями Exchange Server.
Автономные списки адресов достатсшо гибкие, так как их можно настраивать на уровне хранилища почтовых ящиков. Вспомните — в свойствах хранилища почтовых яшлков одно из полей предназначено для задания автономного списка адресов для базы данных. Так как различные автономные списки адресов можно отнести к разным хранилищам почтовых ящиков, иногда бывает удобно создать дополнительные списки, отвечающие определенным требованиям хранилища. Создание автономного списка адресов аналогично созданию обычного списка адресов.
Правой кнопкой мыши щелкните контейнер Offline Address Lists (Автономные списки адресов* в контекстном меню выберите New (Создать), затем щелкните Offline Address List (Автономный список адресов). После этого необходимо выбрать имя для списка и указать, на каком сервере в организации он будет храниться.
Выбрав сервер, щелкните Next (Далее). Выберите списки адресов, которые необходимо добавить в новый автономный список адресов. Список Default Global Address List (Глобальный список адресов по умолчанию) включается по умолчанию, но можно удалить его н добавить другие списки адресов,
Шелкните Next (Далее). Exchange Server 2003 сообщит, что автономный список адресов будет создан во время следующего периода обслуживания, Еше раз шелкните Next (Далее) и щелкните Finish (Готово).
Чтобы пр имен! !ть новый автономный список адресов к хранилищу почтовых ящиков, правой кнопкой мыши щелкнитс нужное хранилище в Exchange Syxtem Manager (Диспетчер системы Exchange) и в контекстном меню выберите Properties (Свойства). Рядом с полем Offline Address List (Автономный список адресов) щелкните Browse (Обзор) и введите нм兄 автономного списка адресов или найдите его в AD. Щелкните ОК, чтобы выбрать список, затем еше раз щелкните ОК, чтобы применить его. Теперь все почтовые ящики в этом хранилище будут использовать новый автономный список адресов.
Создание и применение политик получателей
Политики получателей — это быстрый и эффективный способ задания различных адресов электронной почты для разных пользователей оранизации. Например, компания Contoso, Ltd. приобретает компанию Fabrikam, Inc., в которой работает 5000 сотрудников. Сопзо перевела организацию Exchange Server 2003 Fabrikam в организацию Exchange Server 2003 Contoso, но компании Fabrikam, помимо новых адресов @confoso. сот, необходимо сохранить свои старые электронные адреса, чтобы письма, отправленные клиентами, не возвращались обратно отправителям.
В такой ситуации было бы очень неэффективным решением редактировать свойства всех пользователей Fabrikam и настраивать для них основной л дополнительный адрес электронной почты. Вместо этого можно использовать политику получателей. Создайте политику, которая сделает адрес @contoso,com первичным адресом SMTP, а адрес @fabrikam.com — вторичным адресом SMTP для всех пользователей, у которых атрибут Company имеет значение Fabrikam, Служба Recipient Update Service (Служба обновления получателей) обновит всех пользователей, прошедших через фильтр, добавив новую конфигурацию адресов электронной почты.
Чтобы создать политику получателей, сделайте следующее:
Правой кнопкой мыши шелкните контейнер Recipient Policies (Политики получателей), входящий в контейнер Recipients (Получателн) в Exchange System Manager (Диспетчер системы Exchange), в контекстном меню выберите New (Создать) и шелкните Recipient Policy (Политика получателей).
Теперь необходимо выбрать, какие страницы свойств следует включить. Добавлять и удалять страницы свойств можно уже после создания политики, поэтому сейчас выберите обе страницы E-Mail Addresses (Электронные адреса) и Mailbox Manager Settings (Настройки диспетчера почтовых ящикон) и щелкните ОК. В действительности, если вам понадобятся оба типа свойств, лучше настроить отдельные политики получателей. Как и при настройке других видов политик, хотя можно объединить оба типа в одной политике, настоящая гибкость заключается в возможности настраивать несколько политик, отвечающих разным требованиям организации.
Далее введите имя новой политики получателей. Имя должно быть описательным, чтобы вы знали, какие функции выполняет политика.
Присвоив политике имя, перейдите на вкладку E-Mail Addresses (Policy) [Электронные адреса (Политика)]. Сейчас в списке присутствуют те же адреса, что и в политике Default Policy (Политика по умолчанию). Если использовать пример с компаниями Contoso и Fabrikam, то можно добавить адрес SMTP ^fabrikam.com и сделать его дополнительным адресом, чтобы основным адресом SMTP остался адрес @contoso. сот.
Задав адреса электронной почты, перейдите на вкладку General (Общие) н щелкните Modi® (Изменить), чтобы определить запрос LDAP, Откроется то же диалоговое окно Find Exchange Recipients (Поиск: Exchange Recipients), которое вы видели при создании списка адресов. Точно так же настройте фильтрацию членства в политике при помощи атрибутов и значений. Например, если вы хотите, чтобы политика применялась ко всем пользователям, атрибут Company которых имеет значение Fabrikam, то опишите эти условия на вкладке Advanced (Дополнительно) этого диалогового окна*
6+ Описав фильтр, щелкните OK. Exchange Server 2003 сообщит» что если вы внесли изменения, приводящие к тому, что объекты получателей более не будут подпадать под действие данной политики» возможно, их членство не будет оценено заново (что означает» что адреса могут остаться теми же). Дважды щелкните ОК, чтобы завершить создание политики. Exchange Server 2003 попросит вас подтвердить, что вы хотите применить политику ко всем пользователям, удовлетворяющим фильтру. Щелкните %“Да).
7* Служба Recipient Update Service (Служба обновления получателей) применит политику в следующем интервале обновления, но можно запустить принудительное обновление учетных записей пользователей, щелкнув созданную вами политику получателей правой кнопкой мыши и выбрав в контекстном меню Apply This Policy Now (Применить политику).
При создании нескольких политик получателей можно настроить еще один параметр. Политики получателей применяются в порядке перечисления, то есть у политик, находящихся наверху списка, приоритет выше. Можно щелкнуть политику правой кнопкой мыши и выбрать в контекстном меню Move Up (Вверх) или Move Down (Вниз), чтобы увеличить или понизить ее приоритет по отношению к другим политикам. У политики Default Policy (Политика по умолчанию) всегда самый низкий приоритет, и ее невозможно передвинуть вверх по списку.
Лабораторная работа. Создание и управление списками адресов и политиками получателей
В этой лабораторной работе вы подготовите учетные записи пользователей вашей организации Exchange Server 2003 и создадите списки адресов, фильтрующие пользователей по значениям атрибутов. После этого вы создадите автономный список адресов, добавите в него созданные вами списки адресов и назначите хранилищу почтовых ящиков.
Упражнение 1 ・ Подготовка среды Exchange Server 2003
Откройте консоль Active Directory Users And Computers (Active Directory — пользователи и компьютеры). Создайте следующие учетные записи пользователей с перечисленнны- ми атрибутами:
User
Office
Department
Company
Nicole Caron
Dallas
Sales
Contoso
Willis Johnson
Dallas
Marketing
Con toso
Jenny Lysaker
St* Louis
Sales
Fabrikam
Pete Male
St. Louis
Marketing
Fabrikam
Sheela Mbrd
Boston
Sales
Contoso
Bob Gage
Boston
Sales
Fabrikam
Darin Lockert
Boston
Marketing
Contoso
Deb Valdai
Boston
Marketing
Fabrikam
Chris Meyer
Omaha
Sales
Contoso
Упражнение 2. Создание списков адресов
Запустите Exchange System Manager (Диспетчер системы Exchange). Разверните контейнер Recipients (Получатели), чтобы видеть контейнеры списков адресов.
Правой кнопкой мыши шелкните All Address Lists (Все списки адресов), в контекстном меню выберите New (Создать) и щелкните Address List (Список адресов).
В поле Address List Name (Имя списка адресов) введите Sales.
Щелкните Filter Rules (Правила фильтрации) и перейдите на вкладку Advanced (Дополнительно).
В меню Field (Поле) выберите User (Пользователь) и щелкните Department.
В поле Condition (Условие) выберите Совпадает [Is (Exactly)].
В качестве значения введите Sales. Щелкните Add (Добавить).
Щелкните ОК, затем щелкните Finish (Готово).
Правой кнопкой мыши щелкните список адресов Suks в контейнере All Address Lists (Все списки адресов) и в контекстном меню выберите Properties (Свойства).
Щелкните Preview (Предварительный просмотр). Обратите внимание, что членами группы являются все пользователи, атрибут Department которых имеет значение Sales,
Повторите процесс и создайте списки адресов Marketing, Dallas, 5Z Louis, Boston, Omaha, Con toso и Fabrikam. Настраивайте фильтрацию списков адресов на основе значений атрибутов Office и Company.
Упражнение 3. Создание автономного списка адресов
Праной кнопкой мыши щелкните OfTline Address Lists (Автономные списки адресов) в контейнере Recipients (Пол^атели), в контекстном меню выберите New (Создать) и щелкните Offline Address List (/Автономный список адресов).
В качестве имени введите Company Offline и щелкните Browse (Обзор), чтобы выбрать сервер. Выберите Server02 ——здесь будет храниться автономный список адресов.
Щелкните Next (Далее) и удалите список Default Global Address /.^/(Глобальный список адресов по умолчанию) из списка Address Lists (Списки адресов). Щелкните Add (Добавить) и добавьте в автономный список адресов списки Conioso и Fabrikam.
Щелкните Next (Далее), затем еще раз шелкните Next (Далее) в сообщении о том, что список будет создан во время следующего периода обслуживания. Для завершения создания автономного списка адресов щелкните Finish (Готово).
Упражнение 4. Назначение автономного списка адресов хранилищу почтовых ящиков
L В Exchange System Manager (Диспепер системы Exchange) перейдите к группе хранения Support, которую вы создали ранее в этой главе.
Правой кнопкой мыши щелкните хранилище почтовых ящиков HclpDesk в группе хранения Support и в контекстном меню выберите Properties (Свойства).
Щелкните Browse (Обзор) рядом с полем Offline Address List (Автономные списки адресов).
Введите Company Offline и щелкните Check Names (Проверить имена). Имя списка адресов должно стать подчеркнутым,
Щслкните ОК, затем еще раз щелкните ОК, чтобы применить автономный список адресов к хранилищу почтовых ящиков.
鳳 Практикум по устранению проблем
В этом практикуме вы настроите политику получателей, чтобы добавить дополнительный адрес электронной почты, а затем устраните неполадку, не позволяющую политике вступить в силу.
Перед тем как приступать к этому практикуму, необходимо выполнить предыдущие упражнения из этой главы и настроить учетные записи пользователей с перечисленны- мн атрибутами Department, Office и Company.
Упражнение 1. Создание политики получателей
Запустите Exchange System Manager (Диспетчер системы Exchange). Разверните контейнер Recipients (Получатели), правой кнопкой мыши щелкните Recipient Policies (Политики получателей), в контекстном меню выберите New (Создать) и щелкните Recipient Policy (Политика получателей).
Создайте политику получателей, которая присвоит пользователям второй адрес SMTP в домене @fabrikam.com. Сделайте его основным адресом; при этом адрес ^contoso. сот автоматически будет назначен дополнительным адресом SMTP.
Настройте для политики получателей фильтр, позволяющий включить всех пользователей, атрибут Company которых имеет значение Fabrikam. Щелкните Find Now (Найти), чтобы увидеть результаты запроса в виде имен пользователей. Щелкните ОК, чтобы сохранить изменения.
Подтвердите все запросы Exchange Server 2()03 и, завершив создание политики получателей, вернитесь в Exchange System Manager (Диспетчер системы Exchange).
Откройте консоль Active Directory Users And Computers (Active Directory — пользователи и компьютеры)* Отредактируйте свойства пользователя Bob Gage и перейдите на вкладку E-Mail Addresses (Электронные 詠нреса). Обратите внимание, что его настройки не обновились» хотя параметр Automatically Update E-Mail Addresses Based On Recipient Policy (Автоматически обновлять электронные адреса на основании политики получателей) выбран. Закройте окно свойств пользователя*
Упражнение 2. Применение политики получателей
Вернитесь в окно утилиты Exchange System Manager (Диспетчер системы Exchange). Правой кнопкой мыши щелкните созданную вами политику получателей и в контекстном меню выберите Apply This Policy Now (Применить политику).
Если появится соответствующее сообщение Exchange System Manager (Диспетчер системы Exchange), подтвердите, что вы хотите применить политику,
Вернитесь в консоль Active Directory Users And Computers (Active Directory — пользователи и компьютеры). Снова отредактируйте свойства пользователя Bob Gage и перейдите на вкладку E-Mail Addresses (Электронные адреса). Обратите внимание, что его адреса электронной почты обновлены и отражают изменения, внесенные политикой получателей. Закройте окно свойств пользователя.
ГЛАВА 8
Общие папки
Занятие 1. Создание общих папок245
Занятие 2. Администрирование общих папок253
Зантие 3. Безопасность общих папок265
Темы экзамена
Управление и устранение неполадок с общими папками.
Управление и устранение неполадок с разрешениями.
Мониторинг, управление и устранение неполадок с производительностью инфраструктуры.
В этой главе
При упоминании о приложении Microsoft Exchange Server в первую очередь люди обычно думают об электронной почте. Однако возможность обмена электронными сообщениями ——это лишь часть функциональности Exchange Server. Общие папки представляют собой мощный инструмент совместной работы, позволяющий пользователям легко предоставлять другим сотрудникам, входящим в ту же организацию Exchange, данные различных типов. Помимо этого, общие папки можно использовать в качестве общественного хранилиша данных, к которым должны обращаться разные пользователи, например отзывов покупателей. Хорошо продуманная инфраструктура общих папок позволяет увеличить продуктивность компании.
Прежде всего
Для выполнения упражнений в этой главе вам понадобится следующее аппаратное и программное обеспечение:
два компьютера нон управлением Microsoft Windows Server 2003, установленных в одном домене AD. (Можно настроить второй компьютер в качестве контроллера домена, но это не обязательно; это никак не повлияет на работу программы уста* новки.)
на один из серверов или на рабочую станцию в том же домене должен быть установлен Microsoft Outlook 2000 или Outlook 2003.
Занятие 1. Создание общих папок
Общие папки представляют собой способ хранения информации, обеспечивающий доступ к ней различным пользователям организации Exchange Server 2003. Используя настраиваемые формы Outlook, общие папки можно превратить в хранилища совместно используемых приложений, например служб Bulletin Board System (BBS, Доска объявлений), дискуссионных групп, систем отслеживания отзывов покупателей и так далее. Пользователи могут обращаться к общим папкам разными способами. Например, можно использовать Outlook или клиенты Сетевого протокола передачи новостей (Network News Transfer Protocol, NNTP) и Протокола передачи гипертекста (Hypenext Transfer Protocol, HTTP), позволяющие упростить доступ к общим папкам из-за пределов организации, например для клиентов.
Изучив материал этого занятия, вы сможете:
/ понять предназначение общих папок;
/ создать обшие папки;
/ создать новое дерево общих папок.
Продолжительность занятия — около 45 минут.
Использование общих папок
Общие папки содержатся в хранилищах общих папок. Список общих лапок, который можно раскрыть из клиентского приложения, например Outlook, имеет форму дерева (также называемого иерархической структурой). Любая общая папкат в которой есть подпапки, называется родительской папкой» а подпапки родительской папки называются дочерними папками. Общие папки, созданные в корне дерева общих папок, называются папками высшего уровня.
Общие папки обладают множеством преимуществ:
можно отправлять сообщения общим папкам, указывая адреса электронной почты, хранящиеся в службе каталогов AD, вместо того, чтобы записывать сообщения напрямую в папки;
общие палки позволяют совместно работать пользователям организации Exchange Server 2003 и внешним пользователям;
предоставляют пользователям доступ к конференциям;
к общим папкам можно обращаться по URL из веб-браузеров;
можно выполнять полнотекстовый индексный поиск по содержимому общих папок;
пользователи могут обращаться к любой общей папке в организации. По умолчанию Exchange Server 2003 поддерживает перенаправление общих папок в разных группах маршрутизации.
Также существуют и другие варианты использования общих папок. В них можно хранить практические любые типы данных и предоставлять доступ к информации другим пользователям. Часто общие папки используются для сбора отзывов покупателей, отправленных в компанию на адрес электронной почты, принадлежащий папке. Если в такой ситуации использовать обычный почтовый яшик пользователя, то сообщения будут попадать только к одному человеку Если воспользоваться списком распространения, то все члены списка будут получать все сообщения, отправленные на этот адрес, что может быть нежелательно. В варианте с общими папками все письма от покупате* лей попадают в общую папку, к которой могут обращаться пользователи, имеющие соответствующие разрешения* Таким образом, общая папка представляет собой централизованный банк электронных сообщений.
Также зачастую общие папки используются для создания общих календарей для групп или отделов сотрудников. При помощи этих календарей можно отслеживать даты встреч с клиентами сотрудников отделов продаж, разрабатывать расписание отпусков, поддерживать списки дней рождения и т. д.
Создание общих папок
Создавать обшие папки можно двумя способами. Наиболее распространенный — при помощи Outlook, так как в этом случае пользователи сами могут создавать общие папки внутри папок высшего уровня, на доступ к которым у них есть разрешение. Это упрощает работу администраторов, так как им не приходится создавать каждую папку, необходимую пользователям. Версия Outlook 9b Access (OWA) для Exchange Server 2003 позволяет использовать и создавать общие папки. Это существенное улучшение по сравнению с версией OWA для Exchange Server 5.5, не поддерживающей общие папки. Другой способ — создавать общие папки при помощи Exchange System Manager (Диспетчер системы Exchange). Этот вариант позволяет выполнить тс же задачи» что и в Outlook, но доступен только администраторам Exchange.
Создание общих папок в Outlook
По умолчанию все пользователи организации Exchange могут создавать общие папки в папке высшего уровня Al】 Public Folders (Все общие папки). (В занятии 3 данной главы вы узнаете, как изменить такое поведение по умолчанию.) Чтобы создать обшую папку в Outlook 2003, сделайте следующее:
1. Разверните контейнер Public Folders (Общие папки) в списке Folder List (Список папок), затем разверните контейнер All Public Folders (Все общие папки), чтобы увидеть список существующих общих папок.
2* Правой кнопкой мыши щелкните контейнер All Public Folders (Все общие папки) н в контекстном меню выберите New Folder (Создать папку). Откроется диалоговое окно Create New Folder (Новая папка), показанное на рис* 8-1.
3* Введите имя папкн. Оно должно быть описательным, чтобы по названию можно было понять предназначение папки.
Рис. 8-1. Создание новой общей лапки
По умолчанию для элементов новой общей папки выбран тип А『“〃 And Post Items (Элементы типа Почта), Однако можно шелкнуть раскрывающийся список и выбрать один из следующих типов:
Calendar Items (Элементы типа Календарь);
Contact Items (Элементы типа Контакт);
Journal Items (Элементы типа Дневник);
Note Items (Элементы типа Заметки);
Tusk Items (Элементы типа Задача).
Выберите подходящий тип. В обтнх папках могут храниться элементы только одного типа.
Последний параметр, который вам необходимо настроить,——это Select Wh“e 7Ь Place The Folder (Поместить папку в). По умолчанию будет подставлена папка» в которой вы начали создавать новую папку, в данном случае — AU Public Folders (Все обшие папки). Если необходимо, можно перейти к другой папке, папки также можно вкладывать друг в друга. Выбрав подходящее место расположения, щелкните ОК, чтобы создать общую папку.
Создание общих папок в OWA
Процесс создания общей папки при помощи OWA аналогичен созданию общей папки в Outlook. Сделайте следующее.
Зарегистрируйтесь в OWA и в меню навигации щелкните ссылку Public Folders (Общие папки).
Откроется новое окно обозревателя со списком всех общих папок, входящих в корневой контейнер Public Folders (Общие папкн). Этот контейнер соответствует контейнеру All Public Folders (Все общие папки) в Outlook.
Правой кнопкой мыши щелкните Public Folders (Общие папки) и в контекстном меню выберите New Folder (Создать папку). Откроется диалоговое окно Create New Folder—Web Page Dialog (Новая папка — Веб-страница), показанное на рис. 8-2.
Рис. 8-2. Создание общей папки в OWA
Введите информацию, необходимую для создания новой общей папки.
Создание общих папок в Exchange System Manager
Администраторы Exchange Server 2003 могут создавать общие папки при помощи утилиты Exchange System Manager (Диспетчер системы Exchange). Это особенно полезно, если вам необходимо создать для пользователей иерархию папок высшего уровня и назначить соответствующие разрешения, позволяющие пользователям создавать собственные подпапки только в определенных папках высшего уровня. Таким образом, администраторы могут контролировать количество папок высшего уровня и упрощать иерархию общих папок.
Откройте Exchange System Manager (Диспетчер системы Exchange) и перейдите к административной группе. Затем разверните контейнер Folders (Папки), чтобы увидеть все деревья общих папок, как показано на рис. 8-3.
Разверните контейнер Public Folders (Общие папки), являющийся эквивалентом контейнера All Public Folders (Все общие папки) в Outlook. Вы увидите все папки, составляющие дерево общих папок.
Праной кнопкой мыши щелкните контейнер Public Folders (Общие папки), в контекстном меню выберите пункт New (Создать) и щелкните Public Folder (Общая папка). Откроется диалоговое окно, показанное на рис. 8-4.
Укажите необходимые сведения о папке. Обратите внимание, что в эту папку могут входить только элементы типа Почта (Mail And Post Items) и изменить данную настройку нельзя. Однако в такие папки можно вкладывать подпапки, в которых, в свою очередь, можно хранить элементы любых тнпов. Если у вас возникнет необ-
ходимость создать общие папки для хранения элементов, тип которых отличается от элементов типа Почта (Mail And Post Items), воспользуйтесь приложениями Outlook или OWA.
■ Exrhang 触 Hnm Кала<|ег■ Exrhang 触 Hnm Кала<|ег& Efe ao®n j itfudow g& Efe ao®n j itfudow g,PMMcFtMyt£ 3PlAkFoae г 缰 PtifcMdfr,,PMMcFtMyt£ 3PlAkFoae г 缰 PtifcMdfr,8 一 i由餌i d1 /⑤园I窗8 一 i由餌i d1 /⑤园I窗
■ Exrhang 触 Hnm Кала<|ег
■ Exrhang 触 Hnm Кала<|ег
& Efe ao®n j itfudow g
& Efe ao®n j itfudow g
,PMMcFtMyt£ 3PlAkFoae г 缰 PtifcMdfr,
,PMMcFtMyt£ 3PlAkFoae г 缰 PtifcMdfr,
8 一 i由餌i d1 /⑤园I窗
8 一 i由餌i d1 /⑤园I窗
Рис. 83 Контейнер Folders
Рис. 8-4. Создание общей папки в Exchange System ManagerРис. 8-4. Создание общей папки в Exchange System Manager
Рис. 8-4. Создание общей папки в Exchange System Manager
Рис. 8-4. Создание общей папки в Exchange System Manager
Создание дерева общих папок
В списке общих папок в контейнере АН Public Folders (Все общие папки) отображается дерево общих папок, также называемое иерархией. В Exchange Server 2003 существуют два типа деревьев общих папок: дерево общих папок по умолчанию (Default) и дерево общих папок общего назначения (General Purpose). В организации Exchange Server 2003 может быть только одно дерево по умолчанию; однако можно создавать столько деревьев общего назначения, сколько необходимо.
Дерево общих папок по умолчанию
Дерево общих папок по умолчанию автоматически создается программой установки при установке первого сервера Exchange Server 2003 м создании организации. Это дерево отображается в Exchange System Manager (Диспетчер системы Exchange) в виде контейнера Public Folders (Общие папки), а в Outlook ——в виде контейнера All Public Folders (Все общие папки). Данное дерево содержит список всех общих палок, входящих в дерево.
Дерево по умолчанию реплицируется на каждый сервер Exchange, где есть хранилище общих папок, связанное с этим деревом. Благодаря этому пользователи могут легко просматривать всю иерархию общих папок. По умолчанию, это дерево общих лапок создается на каждом сервере общих лапок в организации Exchange Server 2003.
Деревья общего назначения
Деревья общего назначения — это дополнительные деревья обших папок, которые создает администратор. Как и дерево по умолчанию, дерево общего назначения реплицируется на каждый сервер, где работает Exchange 2000 Server (или более поздняя версия), и где есть хранилище общих папок, связанное с данным деревом. Таким образом, вы можете создавать дополнительные деревья общих папок, которые будут реплицироваться на выбранные серверы обших папок в организации Exchange.
Деревья общего назначения не поддерживают клиенты интерфейса программирования приложений электронной почты (Messaging Application Programming Interface, MAPI), поэтому пользователи Outlook нс смогут просмотреть или открыть созданные вами деревья общего назначения. Они доступны только клиентам NNTP и HTTP. Помимо этого, чтобы пользователи могли обращаться к дереву общих папок общего назначения мз аеб-браузера, в организации Exchange Server 2003 необходимо развернуть виртуальный сервер HTTP.
Примечание Виртуальные серверы, включая HTTR являются темой главы 9 «Виртуальные серверы». Однако здесь вы узнаете все необходимое для выполнения упражнений в этой главе.
Обычно деревья общих папок общего назначения используются для хранения пользовательских приложений с учетом функциональных, деловых или географических требований* Например, в одном дереве можно хранить приложения сотрудникоа отдела по работе с персоналом, а в другом ——приложения для учета или исследования или приложения для разработки программ.
Помимо этого, при помощи деревьев общих папок общего назначения можно предоставлять данные общих папок пользователям за пределами организации, например
деловым партнерам и клиентам. Эти данные можно отделить от содержимого папок в дереве по умолчанию, а также применить к ним индивидуальные настройки безопасности. Использование нескольких деревьев общих папок предоставляет те же преиму- тества, что и нескольких групп хранения, обеспечивая, помимо лучшей безопасности, гибкость при создании резервных копий и восстановлении.
Создание деревьев общих папок общего назначения
Можно создать столько деревьев общих папок общего назначения, сколько необходимо, но, чтобы иметь возможность использовать их, каждое дерево нужно связать с хранилищем общих папок. Таким образом, при добавлении деревьев обших папок вы ограничены только количеством общих хранилищ в организации. С деревом общих папок на каждом сервере может быть связано только одно общее хранилище. Сначала создайте дерево общих папок в Exchange System Manager (Диспетчер системы Exchange), затем создайте общее хранилище и свяжите его с деревом.
Лабораторная работа. Создание общих папок
В этой лабораторной работе вы создадите новое дерево общих папок, затем создадите новое общее хранилище и свяжете его с только что созданным деревом. После этого вы создадите в новом дереве общую папку. Затем вы создадите новый виртуальный сервер HTTP для дерева общих папок и убедитесь, что можете обращаться к дереву мз веббраузера.
Упражнение 1. Создание дерева общих папок и общего хранилища
L Откройте Exchange System Manager (Диспетчер системы Exchange) и перейдите к нужной административной группе. Правой кнопкой мыши щелкните в административной группе контейнер Folders (Папки), в контекстном меню выберите New (Создать) и щелкните пункт Public Folder Пес (Дерево общих папок).
Присвойте дереву имя Customer Forum и щелкните ОК.
Перейдите к своему серверу в Exchange System Manager (Диспетчер системы Exchange) и разверните узел контейнера. Правой кнопкой мыши щелкните на сервере группу хранения, в контекстном меню выберите New (Создать) и щелкните пункт Public Store (Общее хранилище),
Присвойте общему хранилищу название Forums, затем щелкните Browse (Обзор), чтобы связать хранилище с деревом общих папок.
В списке Available Public Folder Trees (Доступные деревья общих папок) щелкните только что созданное дерево общих папок, затем щелкните ОК.
Щелкните ОК для завершения создания общего хранилища, затем щелкните Yes (Да), чтобы разрешить подсоединение к базе данных.
Упражнение 2. Создание общих папок
В Exchange System Manager (Диспетчер системы Exchange) перейдите к созданному вами дереву общих папок CustomerForum.
Щелкните CusiomerForum правой кнопкой мыши, в контекстном меню выберите New (Создать) и шелкните пункт Public Folder (Общая папка).
Присвойте папке имя Setup Support н щелкните ОК.
Повторите процесс, чтобы создать общие папки Announcements и Features Wishlist.
Проверьте, что новые общие папки присутствуют в списке дерева общих папок н пункте Customer Forum.
Упражнение 3. Создание виртуального каталога
В Exchange System Manager (Диспетчер системы Exchange) перейдите к нужной административной группе и серверу и разверните контейнер Protocols (Протоколы).
Разверните контейнер HTTP, затем пункт Exchange Virtual Sener (Виртуальный сервер Exchange), чтобы увидеть список контейнеров.
Правой кнопкой мыши щелкните Exchange Virtual Server (Виртуальный сервер Exchange), в контекстном меню выберите New (Создать) и щелкните Virtual Directory (Виртуальный каталог). Откроется диалоговое окно Properties (Свойства), показанное на рис. 8-5.
Рис. 8s ИастроНка виртуального каталога
Присвойте виртуальному каталогу название Forums и щелкните Modify (Изменить), чтобы изменить путь в Exchange [по умолчанию он указывает на Public Folders (Общие папки)],
В диалоговом окне Choose A Public Folder (Выберите общую папку) щелкните CustomerFbrum, затем щелкните ОК.
Еще раз щелкните ОК, чтобы завершить создание виртуального каталога.
Упражнение 4. Доступ к дереву общих папок по протоколу HTTP
Дождитесь окончания настройки организации Exchange (это займет приблизительно две минуты), затем откройте Microsoft Internet Explorer.
Введите адрес URL, указывающий на ваше дерево общих папок (адрес задается в формате Attp://имя_сервера/виртуальныи_каталог). Если в этом упражнении вы использовали сервер ServerOl, введите Лttp://ServerO 1/Forums. Вы увидите окно браузера, аналогичное показанному на рис. 8-6.
Рис. 8-6. Поиск в дереве общих папок
Просмотрите созданную вами структуру общих папок. Закройте Internet Explorer.
Занятие 2. Администрирование общих папок
Чтобы поддерживать эффективную и работоспособную инфраструктуру общих папок, необходимо уметь администрировать общие папки. Администрирование включает такие задачи, как управление свойствами электронной почты, ограничениями хранения, расположением папок и репликацией.
Изучив материал этого занятия, вы сможете:
/ научиться управлять свойствами электронной почты общих папок;
/ устанавливать ограничения хранения для общих папок;
/ перемещать общие папки;
/ управлять репликацией общих папок и ссылок.
Продолжительность занятия — около 60 минут.
Управление свойствами электронной почты общих папок
По умолчанию общим папкам, создаваемым в Exchange Server 2003 при помощи Exchange System Manager (Диспетчер системы Exchange), не назначаются адреса электронной почты, В этом отличие общих папок от папок, перенесенных из Exchange Server 5.5, которым во время миграции присваиваются адреса электронной почты. Таким образом, если общая папка была создана в Exchange Server 2003, то, чтобы она могла получать сообщения, для нее нужно создать электронный адрес. Это делается в Exchange System Manager (Диспетчер системы Exchange).
В Exchange System Afanager (Диспетчер системы Exchange) перейдите к общей папке, которой хотите присвоить адрес электронной почты.
Правой кнопкой мыши щелкните папку, в контекстном меню выберите All Tasks (Все задачи) и шелкшие пункт Mail Enable (Создать электронный адрес).
По умолчанию, будут созданы адреса электронной почты для систем Х.400 и SMTP. Если необходимо, можно просмотреть эти адреса или создать дополнительные. Щелкните общую папку с адресом электронной почты правой кнопкой мыши, выберите в контекстном меню пункт Properties (Свойства) н вы увидите окно с несколькими вкладками:
E-Mail Addresses (Электронные адреса);
Exchange General (Общие Exchange);
Exchange Advanced (Дополнительно Exchange);
Member Of (Член групп).
Вкладка E-Mail Addresses
На воадке E-Mail Addresses (Электронные адреса) можно просмотреть и создать адреса электронной почты для общей папки.
Перейдите на вкладку E-Mail Addresses (Электронные адреса).
Щелкните New (Создать), затем в списке типов адресов электронной почты выбе^ ритс SMTP Address (Адрес SMTP). Шслкните ОК.
Введите адрес электронной почты для папки и щелкните ОК.
Проверьте новый адрес на вкладке E-Mail Addresses (Электронные адреса), показанной на рис. 8-7.
Если необходимо, можно настроить дополнительные адреса электронной почты, хотя можно оставить н один основной.
Вкладка Exchange General
На вкладке Exchange General (Общие Exchange) можно настроить свойства обшей папки, аналогичные свойствам почтового ящика пользователя- На этой 8кладке можно узнать, к какому дереву общих папок принадлежит данная папка, а также псевдоним папки. Обычно псевдоним совпадает с именем папки, хотя можно выбрать другой псевдоним, особенно если имя папки достаточно длинное.
|ftfin«M^M：ementi_Fr<n>ert>e* 一—’ "，”'"^^.^1^^
G«r«M I Нпрйжх! ] ivmi I E whangs Gefwd EZAdthwwc I BchatQe Advanced | D#*Mt | Ренжймп#| M・mb« 01
E*>*nui»d<k・**t心 ha,»w WeJtl«f^«ddvM Toeh«ng* 出 <МмД. мкл! an tatby c the ht. end Ihtm ackSeiAi Pmmh
F Nfczic^9M> fUicaet beeod (гнифйН poky
麻 I Cancel ] ЙРО^1 I Hek>
Рис. 8-7. Настройка адресов электронной почты для общих папок
Адреса электронной почты и псевдонимы
Если только не существует важной причины для того, чтобы псевдоним папки отличался от адреса электронной понты, менять его не следует. Следующий пример из практики иллюстрирует эту политику.
Компания Fabrikam. Inc, уже почти год работает с адресом fabrikarn.com, до этого ее адресом был contoso.com. Когда администратор создает нового пользователя, по умолчанию для него задается адрес SMTP в домене @contoso.com, и администратору приходится вручную менять его на @fabrikam.com. При помощи глобального параметра Recipient Policy, отвечающего за определение адресов электронной почты, администратор изменил политику адресов SMTP с contoso. сот на fabrikam.com.
Когда Exchange Server в соответствии с новой политикой обновил адреса электронной почты всех пользователей, для повторного создания адресов SMTP использовалось поле Alias. У приблизительно 20% почтовых ящиков, списков распространения м общих папок псевдонимы совпадали с адресами SMTP (например, у сотрудника по имени Jenny Lysaker адрес SMTP и псевдоним — Jenny), поэтому обновление никоим образом их не затронуло. Однако примерно у 80% пользователей псевдонимы отличались от адресов SMTP (например, у сотрудника Bob Gage был псевдоним BobG и адрес SMTP Bob), Для таких пользователей Exchange изменил существующий адрес SMTP, взяв имя для нового адреса из поля Alias. В результате большинство сотрудников, списков распространения и общих папок не могут получать сообщения из-за пределов организации, так как теперь их адреса стали неверными. Выбирая между перспективами восстановления из резервной копии и редактированием всех адресов SMTP вручную, компания отдала предпочтение второму варианту (всего адресов около 750).
Процесс восстановления обещает быть чрезвычайно утомительным, но его можно было избежать, если бы псевдонимы совпадали с адресами SMTP. Администратор сам вызвал проблему, обновив все сушествующие адреса в Exchange, но нс обратив внимание на несоответствие псевдонимов и адресов.
На рис. 8-8 показано диалоговое окно Delivery Restrictions (Ограничения доставки), которое открывается, если щелкнуть кнопку Delivery Restrictions (Ограничения доставки) на вкладке Exchange General (Общие Exchange),
Рис. 8・& Настройка ограничений доставки для общей папки
Здесь можно настроить те же ограничения доставки, что и для почтового ящика пользователя. Если папки должны и отправлять, и получать электронные сообщения, то можно задать ограничения на размер сообщений. В области Message Restrictions (Ограничения сообщений) также можно выбрать, кто имеет право отправлять сообщения в данную папку. Это полезно, если папка используется приложением или ограниченной группой пользователе甘，и вы не хотите, чтобы в нее попадали письма от посторонних людей. Помимо этого, можно запретить определенным пользователям отправлять сообщения в данную папку.
На вкладке Exchange General (Общие Exchange) щелкните Delivery Options (Параметры доставки), чтобы настроить для папки разрешения Send On Behalf (Посылать от имени) и адреса для пересылки сообщений. Еслн, например, нн используете общую папку для полученм只 отзывов клиентов, то можно настроить ее так, чтобы сотрудники отвечали клиентам с адреса данной папки (например, feedback@contoso.сот), а не с личных адресов. Чтобы письма, направленные этой папке, могли получать н другие пользователи, укажите их электронные адреса для пересылки сообщений. Тогда, помимо того,
что письма будут храниться в обшей папке, руководитель отдела работы с клиентами (или другой сотрудник) сможет получать все отзывы в личный почтовый ящик.
Вкладка Exchange Advanced
Перейдите на вкладку Exchange Advanced (Дополнительно Exchange), чтобы настроить парамеры, перечисленные на рис. 8-9*
1дпп<1к1псспмп11 Properties
Garar* I Mcotnn I Lh*i I Etdunge &№йЫEEdMdan EiK*f*AdE»d | 口 № | Pwim«ru[ MumlwDl
Sneie dvfiay rww
Г" Hid0 1Tom ЕмсЬвпд* eddrm tot*
Vww «nd такйу wetam «llifa^iCufiraA№tMet
AdnrisiiAitvc (моцс Ccniou
峡 .口 Care»] I ^pp^ ] Help
Рис. 8-9. Вкладка Exchange Advanced
Первый параметр — это Simple Display Name (Простое отображаемое имя), определяющий, как папка будет отображаться н списках адресов. Если имя общей папки очень сложное или содержит символы, не входящие в таблицу ANSI, можно указать более понятное имя Simple Display Name (Простое отображаемое имя).
Зачастую общие папки создаются для определенного приложения или цели, м они не должны быть доступны пользователям в организации. Такие папки можно скрыть из списков адресов, чтобы пользователи не могли их видеть* Параметр Hide Aom Exchange Address Lists (Скрыть из списков адресов Exchange) позволяет включать и выключать отображение папок в списках адресов. Скрытая папка не теряет своей функциональ* ности и может принимать сообщения, но ее невозможно найти в списке получателей в глобальном списке адресов (Global Address List, GAL).
Также для общих папок можно определить пользовательские атрибуты. При настройке объектов получателей (обычно почтовых яшиков пользователей) в Exchange Server 2003 можно задать несколько атрибутов получателя, например отдел, должность, дополнительный номер телефона и т. д. Однако может понадобиться определить какие-либо пользовательские атрибуты, не входящие в этот список. Настраивая общие папки, невозможно задать многие из стандартных атрибутов, но, если необходимо, на вкладке Exchange Advanced (Дополнительно Exchange) можно шелкнуть Custom Attributes (Пользовательские атрибуты) и определить дополнительные атрибуты папки.
Наконец, на Exchange Advanced (Дополнительно Exchange) указано, какой административной группе принадлежит общая папка*
Вкладка Member Of
При помощи параметров вкладки Member Of (Член групп) общую папку можно добавить в группы AD, чтобы включить ее в группу распространения. Если общая папка прнна- длежит группе безопасности или группе распространения, она получает асе сообщения, отправленные на адрес электронной почты этой группы. Вкладка Member Of (Член групп) показана на рис. 8-10.
Рис. 8-10. Вкладка Member Of
Так как зарегистрироваться в системе под именем папки невозможно, поместив общую папку в группу безопасности, вы не сможете получить доступ к каким-либо ресурсам. Однако группам безопасности, как н группам распространения, можно присваивать адреса электронной почты, поэтому общую папку можно добавить в группу безопасности только для того, чтобы она также могла получать сообщения.
Настройка ограничений хранения для общих папок
Типы данных, которые можно хранить в общих папках, практически неограничены. Помимо этого, при помощи общих папок можно открывать ресурсы пользователям за пределами организации, например клиентам. Следовательно, существует вероятность, что общие папки будут очень быстро увеличиваться в размере. При помощи ограничений доставки можно задать максимальный размер отдельных элементов в папке, но из-за их количества палка может увеличиться настолько, что займет все место на жестком диске. Для управления размером общей папки используются ограничения хранения. Вкладка Limits (Ограничения) для обшей папки показана на рис. 8-11.
lArwwwcrmem * l*raf№ttts
ENAddeew | E«ebanfleAdvent®! | Detab | P«ir&hn" Membe DI | болен» I НВсЛоп Ijnis | ЕкЬапда Gcnoiai
-5tarape bnh "—--■"——
厂 tWL»WMn«(j#(ICBr
厂 ErohbtpoMeHK®!t
厂 ^«unwm iiptn пи |КЗ|
j 0й>Ооп Mitral—— —1
J P U{« pubic Ее 3ja
I &мр cMABd damt fa 岡H
P Lite pubic «iueiM'aJli
E 2 后 1*йсм icl|^
Itnod i №■ риЫе *dtM ilae d»t net Mvuei age Snii}
Рис. 8-11. Вкладка Limits
Существует три способа настройки ограничений хранения. Можно задать ограничения для всего общего хранилища или отдельных общих папок. Помимо этого, можно создать политику общего хранилища и применить се к любому количеству хранилищ. Если ограничения заданы для общего хранилища, то их наследуют все папки в хранилище. Это позволяет настроить необходимые параметры в одном месте и автоматически распространить их на множество палок (на все папки в хранилище).
Политика общего хранилища позволяет настраивать ограничения в одном месте и применять их к нескольким общим хранилищам (можно даже применить ее ко всем существующим хранилищам). В этом случае политика будет распространяться на все общие папки в общих хранилищах. В больших организациях политики существенно упрощают администрирование хранилищ общих папок. Если политика применяется к общему хранилищу то заданные ею ограничения невозможно изменить на уровне хранилища или на уровне отдельных палок. Однако если настроить на уровне общего хранилища ограничения хранения, то их можно изменить для отдельных общих папок. Таким образом, для некоторых папок можно сделать исключения.
Настройка политик обших хранилищ, ограничений обших хранилищ и ограничений общих папок аналогична настройке хранилищ почтовых яшиков и самих почтовых ящиков (подробнее об этом в главе 7 «Управление объектами получателей и списками адресов»).
Ограничения по срокам
Одной из важных особенностей ограничений хранения для общих папок является возможность задавать ограничения по срокам, то есть настраивать, в течение какого времени элементы хранятся в папке до того, как будут автоматически удалены. По умолчанию эта функция отключена, но ее часто используют, если в общих папках хранятся новостные конференции, в которые ежедневно могут попадать тысячи сообщений объемом несколько гигабайт. Настройка ограничения по срокам для такого содержимого улучшает эффективность использования дискового пространства.
Перемещение общих папок
Частью процесса администрирования общих папок является поддержка правильной организации дерева общих папок. В зависимости от того, кому предоставлены разрешения иа создание папок, с течением времени структура дерева может стать неэффективной и не интуитивной. Exchange Server 2003 позволяет перемещать общие папки в пределах дерева, благодаря чему вы можете поддерживать структуру общих папок, наилучшим образом подходящую для вашей организации. Также можно копировать общие палки и вставлять их в другие общие папки в дереве.
Перемещение и копирование общих папок осуществляется в Exchange System Manager (Диспетчер системы Exchange). Самый простой способ переместить общую папку — перетащить ее указателем мыши из одного места в другое. Также можно щелкнуть папку, которую вы хотите переместить, правой кнопкой мыши, в контекстном меню выбрать пункт Cut (Вырезать), затем щелкнуть правой кнопкой мыши целевую папку и выбрать Paste (Вставить). Копирование палок производится аналогичным образом. Правой кнопкой мыши щелкните папку, которую хотите скопировать, в контекстном меню выберите Сору (Копировать), щелкните целевую папку правой кнопкой мыши и выберите Paste (Вставить).
Репликация общих папок
В больших организациях неэффективно и, зачастую, очень дорого работать с общими папками в других сайтах, соединенных с вашим сайтом медленным глобальным подключением. Exchange Server 2003 поддерживает репликацию обших папок; при этом в другие обшие хранилиша помещаются реплики папок. Можно записать рип』нку в обшее хранилище на сервере в другом сайте и реплицировать содержимое по расписанию (например, в нерабочее время).
На каждом сервере в организации есть общее хранилище по умолчанию (Default public store), связанное с деревом общего хранилища по умолчанию (Default public store tree). Чтобы настроить репликацию общих папок, созданных в дополнительных деревьях общих папок, сначала необходимо создать общее хранилище на сервере, где будет храниться реплика. При настройке общего хранилища оно привязывается к определенному дереву общих папок. Хотя хранилище можно привязать к существующему дереву, это не означает, что репликация включится автоматически. Создав общее хранилише на целевом сервере, можно настроить репликацию общей папки на другой сервер.
Чтобы настроить репликацию общей папки, сделайте следующее.
В Exchange System Manager (Диспетчер системы Exchange) перейдите к контейнеру Folders (Папки) и разверните список деревьев общих папок. Разверните дерево, содержащее папку, которую вы хотите реплицировать.
Правой кнопкой мыши щелкните нужную обшую папку и в контекстном меню выберите пункт Properties (Свойства).
Перейдите на вкладку Replication (Репликация), показанную на рис. 8-12.
Щелкните Add (Добавить). Откроется диалоговое окно с перечислением сервер。％ где есть доступные общие хранилиша. Выберите хранилище и щелкните ОК.
Рис. 8-12. Настройка свойств репликации
Обычно нет необходимости изменять значения параметров Public Folder Replication Interval (Расписание репликации общих папок) или Replication Message Priority (Приоритет сообщений репликации). Однако если необходимо» их можно настроить в этом же окне. Закончив, щелкните ОК для завершения процесса.
Совет Схожим образом можно удалить реплику, то есть выбрать вместо добавления удаление.
Если какое-либо содержимое нужно реплицировать чаще или реже обычного, можно изменить расписание репликации. Например, папку, в которой хранится важная информация о проекте, можно реплицировать, как только вносится какое-либо изменение. Помимо зтого, расписание репликации можно настроить на уровне общего хранилища, и тогда оно будет действовать на все обтне папки, находящиеся в храня- лище. Для настройки параметров репликации можно использовать политику общего хранилища — так же, как вы это делали, настраивая ограничения хранение.
В Exchange Server 2003 используется модель репликации с несколькими хозяевами. Это означает, что все реплики обшей папки являются равнозначными и в них хранит- с月 одинаковое содержимое. Реплика, скопированная с одного сервера на другой, представляет собой объект, отличный от общей папки и ее содержимого. Не существует главной реплики, и любые модификации любых реплик совершенно одинаково реплицируются во все остальные реплики.
В зависимости от природы общих папок, возможно, вы не захотите реплицировать определенную общую папку. Например, в папке хранятся важные данные о покупателях, на основании которых сотрудники вашей организации принимают бизиес-решсния. Чтобы гарантировать, что в этой общей папке всегда будет находиться самая свежая информация, лучше не реплицировать ее на другие серверы.
Принимая решение о репликации обшей папки, также необходимо оценить потенциальный сетевой трафик по сравнению с трафиком, содаваемым клиентами. Если
в папке содержится постоянно меняющаяся информация, например с внешнего сайта загружается новостная конференция, то, вероятно, ее лучше не реплицировать, так как это создаст такой большой сетевой трафик, что намного экономнее будет разрешить пользователям самостоятельно обращаться к конференции в глобальной сети.
Репликация вручную
Хотя репликация обычно осуществляется согласно настроенному расписанию, иногда возникает необходимость вручную инициировать репликацию, не дожидаясь момента, заданного в расписании. Например, вы только что создали новое дерево общих папок или общую папку и хотели бы, чтобы она немедленно появилась и на остальных серверах. Инициировать репликацию вручную можно как для деревьев общих папок, так и для отдельных общих папок. Чтобы вручную реплицировать дерево общих папок, сделайте следующее.
Правой кнопкой мыши щелкните дерево общих папок в Exchange System Manager (Диспетчер системы Exchange) и в контекстном меню выберите пункт Send Hierarchy (Переслать иерархию). Откроется диалоговое окно Send Hierarchy (Переслать иерархию), показанное на рис. 8-13.
Рис. 8-13. Репликация перена общих папок вручную
Выберите сервер, с которого будет реплицироваться дерево (исходный сервер), н один или несколько серверов, на которые будет осуществляться репликация (целевые серверы). Можно выбрать рассылку только сведений об изменениях, произошедших за последние несколько дней (количество дней также задается вручную).
Щелкиите OK. Exchange System Manager (Диспетчер системы Exchange) выдаст сообщение о том, что данная процедура может привести к генерации большого объема сетевого трафика. Для продолжения шелкните К§ (Да).
Репликация вручную общей папки производится аналогичным образом. На ware 1 правой кнопкой мыши шелкните общую папку и в контекстном меню выберите Send Contents (Переслать содержимое). Шаги 2 и 3 ничем не отличаются.
Перенаправление общих папок
Если пользователь подоючается к хранилищу общих папок, в котором нет копии запрашиваемого содержимого. Exchange Server 2003 автоматически перенаправляет пользователя на сервер, где хранится необходимое содержимое. Это происходит независимо от пользователя; такой процесс называется перенаправлением. По умолчанию Exchange Server 2003 пытается перенаправить пользователя на другой сервер в той же группе маршрутизации, а затем, если необходимо, использует структуру групп маршрутизации для поиска сервера с нужным содержимым а другой группе маршрутизации. В Exchange Server 2003 можно указать, на какие серверы разрешено перенаправлять пользователей, и назначить серверам веса, описывающие приоритет серверов. Для настройки списка серверов, на которые разрешено перенаправление, сделайте следующее.
L Правой кнопкой мыши щелкните нужный сервер в Exchange System Manager (Диспетчер системы Exchange) и в контекстном меню выберите Properties (Свойства).
Перейдите на вкладку Public Folder Referrals (Перенапранление общих папок), показанную на рис. 8-14.
ОийауДеди I Pofcw 1 5««如 I futTerf Indwno | МйЕпи&Ed I LocnM I МлЬм HwqhwD^xwiMUm fttteFddwReHnai» j Datafa
EUik kiider lefanal wliom
Un RtxMng Groupi了]
毋2II Вито/ I
I M I — ] 4M， I H曲
Рис. 8-14. Настройка перенаправления общих папок
По умолчанию включено использование групп маршрутизации. Щелкните раскрывающийся список Public Folder Referral Options (Параметры персЕгаправления общих папок) и выберите Use Custom List (Использовать юшивидуальиый список).
Щелкните Add (Добавить) и выберите серверы, перенаправление на которые нужно разрешить. Закончив, щелкните ОК, затем сше раз щелкните ОК, чтобы сохранить новую конфигурацию.
Лабораторная работа. Администрирование общих папок
В этой лабораторной работе вы присвоите адрес электронной почты общей папке на сервере ServerOL Затем вы настроите общее хранилище на сервере Server02 и настроите репликацию общей папки, созданной на ScrverOl, на сервер Server02.
Для выполнения данной лабораторной работы вам необходимо установить две системы Exchange Server 2003 в качестве Serveг01 и Serveг02 в одной организации Exchange в домене contoso.com и выполнить упражнения из первого занятия этой главы.
Упражнение 1. Присвоение общей папке электронного адреса
На сервере ServeгО1 запустите Exchange System Manager (Диспетч р системы Exchange). Перейдите к контейнеру Folders (Папки) в вашей административной группе.
Разверните контейнер Folders (Папки), чтобы увидеть список деревьев общих папок, и разверните дерево CustomerForum.
Правой кнопкой мыши щелкните папку Announcements (Уведомления), в контекстном меню выберите All Tasks (Все задачи) и шелкните Mail Enable (Создать электронный адрес).
Правой кнопкой мыши щелкните папку .Announcements (Уведомления) и в контекстном меню выберите Properties (Свойства).
Перейдите на вкладку E-Mail Addresses (Электронные адреса) и щелкните New (Создать). Шелкните SMTP Address (SMTP-адрес), затем щелкните ОК*
В качестве адреса ввелите Алпоипсетел/5@Сопtoso,сот и щелкните ОК. Еще раз шелк* ните ОК, чтобы завершить процедуру.
Упражнение 2. Репликация общей папки
Перейдите в окне утилиты Exchange System Manager (Диспетчер системы Exchange) к серверу ServerO2. Разверните контейнер» чтобы увидеть список групп хранения.
Правой кнопкой мыши щелкните First Storage Group (Первая группа хранения), в контекстном меню выберите пункт New (Создать) и щелкните Public Store (Общее хранилище).
Присвойте общему хранилищу название Forums и свяжите его с деревом общих папок CustomerForum. Для завершения щелкните ОК.
Перейдите к дереву общих папок CustomerForum. Правой кнопкой мыши щелкните общую папку Announcements (Уведомления) и в контекстном меню выберите Properties (Свойства).
Перейдите на вкладку Replication (Репликация) и щелкните Add (Добавить). В списке выберите Server02 и щелкните ОК. Еще раз щелкните ОК, чтобы создать реплику.
Упражнение 3. Запуск репликации вручную
. Правой кнопкой мыши щелкните обшую папку Announcements (Уведомления) и в контекстном меню выберите Send Contents (Переслать содержимое).
* В столбце Source Server (Исходный сервер) выберите ServerOJ, а в столбце Destmation Server (Целевой сервер) щелкните Server02. Щелкните ОК, затем в открывшемся предупреждении щелкните №§ (Да).
Занятие 3. Безопасность общих папок
Настройки безопасности обшей пап км определяют уровень доступа, предоставл енны й пользователям. Пользователям можно разрешить или запретить производить разные действия с общей папкой, чтобы они могли обращаться к нужному содержимому, но не смогли просмотреть запрещенное.
Изучив материал этого занятия, вы сможете:
познакомиться с у наеледо ванны м и и назначенными разрешениями;
настроить разрешения для клиентов, права д刀月 каталога и административные права.
Продолжительность занятия — около 45 минут.
Унаследованные и назначенные разрешения
Разрешения управляют созданием, управлением и использованием общих папок и их содержимого. Они могут быть либо унаследованы, либо назначены. Общая папка наследует разрешения от родительских объектов. Например, папка высшего уровня наследует разрешения административной группы и организации Exchange. Схожим образом, дочерняя папка наследует разрешения от своей родительской папки в дереве общих папок. При создании общей папки необходимо назначить разрешения, описывающие, какие пользователи или группы будут иметь право производить определенные действия с данной папкой. Для папки можно указать как клиентские разрешения, так и административные права.
Дочерние папки наследуют настройки родительских папок только в момент создания. По умолчанию, если изменить что-либо в настройках родительской папки, то изменения не будут автоматически унаследованы дочерними папками. Однако можно включить автоматическое наследование изменений, сделанных в настройках разрешений для родительской папки. Для этого сделайте следующее.
Правой кнопкой мыши щелкните родительскую папку; разрешения которой хотите передавать по наследству, в контекстном меню выберите пункт All Tasks (Все задачи) и щелкните Propagate Settings (Распространить настройки). Диалоговое окно Propagate Folder Settings (Распространение настроек папок) показано на рис. 8-15.
Рис. 8-15, Настройка наследования разрешений общей папки
Хотя можно передавать по наследству различные настройки, здесь нужно выбрать только Folder Rights (Разрешения папки). Для завершения щелкните ОК.
Внимание! Любые изменения, сделанные в настройках дочерней папки, будут утеряны, если включить наследование настроек для ее родительской папки.
Категории разрешений
В Exchange существует три категории разрешений для общих папок; они перечислены в табл, 8-1.
Табл. 8-1. Категории разрешений общих папок
Разрешение
Описание
Клиентские разрешения
Предназначены для управления разрешениями пользователей, которые обращаются к данной общей папке. Например, можно задать пользователей, имеющих разрешение на чтение и запись в эту общую папку
Права для каталога
Административные права
Определяют, каким пользователям разрешено манипулировать объектом общей папки с адресом электронной почты, хранящимся в AD
Позволяет назначать особые административные разрешения определенным администраторам. Например, из 10 администраторов компании только трем можно предоставить права на репликацию определенных важных папок. Административные права наследуются дочерними папками от административных групп, которым они принадлежат Адм и и истрати вн ые права, назначенные папке, по умолчанию не наследуются дочерними папками, но можно настроить передачу прав по наследству
Настройка разрешении
Клиентские разрешения ——это разрешения, с которыми наиболее часто приходится работать администратору, и настраивать их можно двумя способами. Во-первых, можно использовать утилиту Exchange System Manager (Диспетчер системы Exchange). Правой кнопкой мыши щелкните общую папку, в контекстном меню выберите пункт Properties (Свойства), перейдите на вкладку Permissions (Разрешения) и щелкните Client Permissions (Клиентские разрешения), чтобы открыть диалоговое окно, показанное на рис. 8-16.
加 CREATOR OWNER庁 Domain Admr« (CONTOSOSDoma^iAdminsl 血 EnterpnseAdmm |CONTOSOXEnterpitse Admins]加 CREATOR OWNER庁 Domain Admr« (CONTOSOSDoma^iAdminsl 血 EnterpnseAdmm |CONTOSOXEnterpitse Admins]Гчлкм-^а Пт •牆 C*rw (ГПЫТЛСП^ГГчлкм-^а Пт •牆 C*rw (ГПЫТЛСП^ГEvetvorvEvetvorvRecmkiions lor EveiyoneRecmkiions lor EveiyoneDeleteRead permissionsChange permissions T ake ownetship Synchrorare List CorUentsDeleteRead permissionsChange permissions T ake ownetship Synchrorare List CorUentsрлрл
加 CREATOR OWNER
庁 Domain Admr« (CONTOSOSDoma^iAdminsl 血 EnterpnseAdmm |CONTOSOXEnterpitse Admins]
加 CREATOR OWNER
庁 Domain Admr« (CONTOSOSDoma^iAdminsl 血 EnterpnseAdmm |CONTOSOXEnterpitse Admins]
Гчлкм-^а Пт •牆 C*rw (ГПЫТЛСП^Г
Гчлкм-^а Пт •牆 C*rw (ГПЫТЛСП^Г
Evetvorv
Evetvorv
Recmkiions lor Eveiyone
Recmkiions lor Eveiyone
Delete
Read permissions
Change permissions T ake ownetship Synchrorare List CorUents
Delete
Read permissions
Change permissions T ake ownetship Synchrorare List CorUents
рл
рл
QK ―]Cancel | 如叱
Рис, 8-16. Настройка клиентских разрешений в Exchange System Manager
Здесь можно добавить пользователей и группы и настроить уровень гранулирован- ности доступа к папке. Шелкнув кнопку Advanced (Дополнительно), можно настроить расширенные права. По умолчанию сразу же после создания обшей папки любой пользователь может считывать информацию и записывать данные в эту папку.
Самый простой способ настроить клиентские разрешения — сделать это в Outlook. Здесь задаются разрешения для ролей, а нс более подробные права для папок.
Откройте Outlook, разверните в списке папок узел Public Folders (Общие папки), затем разверните All Public Folders (Все общие папки).
Правой кнопкой мыши щелкните обшую папку, в контекстном меню выберите пункт Properties (Свойства) и перейдите на вкладку Permissions (Разрешения), показанную на рис. 8-17.
Рис. 8-17. Настройка клиентских разрешений в Outlook
По умолчанию уровень разрешений Author (Автор) предоставлен всем объектам, то есть любой пользователь может считывать и создавать элементы, а также редактировать и удалять свои элементы.
Совет Вкладка Permissions (Разрешения) доступна только для пользователей и групп, которым предоставлена роль Folder Owner (Владелец папки). Не являющиеся владельцами папки пользователи или группы не могут изменять разрешения.
Чтобы добавить пользователей и группы, щелкните Add (Добавить) и назначьте им подходящие роли.
Чтобы настроить дополнительные параметры безопасности, nepcIWiTc на вкладку Administration (Управление) диалогового окна свойств общей папки, показанную на рис. g-18.
К настройкам безопасности на этой вкладке относятся параметры This Folder Is Available To (Папка доступна) и Управляемая папка (Moderated Folder), Можно разрешить использовать данную папку всем пользователям, имеющим разрешения на доступ (это настройка по умолчанию), или только пользователям и группам, которым была назначена роль Folder Owner (Владелец папки). Управляемая папка — это папка, в которую попадают только сообщения, проверенные и одобренные модератором. Эту возможность удобно использовать для списков распространения и форумов, в которых желательно ограничивать сообщения не по теме* Щелкните Moderated Folder (Управляемая папка), чтобы открыть диалоговое окно Moderated Folder (Управляемая папка), показанное на рис. 8-19.
XX‘Cancel I‘Cancel IРис* 8-18. Настройка дополнительных параметров безопасности
X
X
‘Cancel I
‘Cancel I
Mwierated FoMef
Setting up о foUer as « moderated folder causes all Items posted to the folder to be Forwerdsd to e designated recjp*®^ or public folder for review. You must give one or more 口u承 permteslons to move these Items back hto the fdder once they have been reviewed by them and approved For viewing by others.
p * folder up as a moderated folder
Forward new Items to:
Jr… I~ 一 — 一Chet'Names ]
厂厂 Reply to oe^ IteiTs wfth
倉 a^ndartf ^sponse
L Li.-r.irnResponse' IjsW^tJ,. |
Phc. 8-19. Настройка параметров управляемой папки
Чтобы настроить управляемую папку, сначала необходимо установить соответствующий флажок, превратив обычную папку в модерируемую. После этого необходимо
выбрать пользователя или группу которым будут направляться все новые сообщения* отправленные в папку. Эти пользователи смогут проверять содержимое сообщений и решать, можно ли его опубликовать в папке. Наконец, необходимо назначить модераторов» имеющих право перемещать одобренные сообщения в папку. Также можно автоматически отправлять авторам сообщений электронные письма, разъясняющие, что данная папка является управляемой и они не увидят свои сообщения, пока те не будут одобрены. Такие письма могут содержать стандартный текст ответа, или же вы можете настроить собственный.
Настройка прав для каталога
Права, настраиваемые для каталога, описывают, у каких пользователей или групп есть разрешения на изменение атрибутов обшей папки, относящихся к электронной почте. По умолчанию этими разрешениями обладают только учетная запись Administrator (Администратор) и члены групп Administrators (Администраторы), Enterprise Admins (Администраторы предприятия), Exchange Domain Servers (Серверы домена Exchange) и Exchange Enterprise Servers (Серверы предприятия Exchange). Authenticated Users (Прошедшие проверку пользователи) имеют право просматривать разрешения, но не изменять их. В целом, таких настроек достаточно, и менять их не следует Чтобы изменить права для каталога, сделайте следующее:
L Правой кнопкой мыши щелкните общую папку в Exchange System Manager (Диспетчер системы Exchange) и в контекстном меню выберите Свойства (Properties).
Перейдите на вкладку Permissions (Разрешения) и щелкните Directory Rights (Права для каталога).
Добавьте пользователей или группы и настройте подходящие разрешения.
Закончив, щелкните ОК; затем еще раз щелкните ОК для завершения процедуры.
Настройка административных прав
При помощи ад ми н и страти вн ых прав можно указать, какие пользователи и группы могут использовать утилиту Exchange System Manager (Диспетчер системы Exchange), пользовательскую Консоль управления (Microsoft Management Console, ММС) или любую другую адм ин истративную утилиту для настройки репликации, ограничений хранения и любых других параметров общей папки. По умолчанию только у администраторов домена и предприятия AD есть достаточные административные права на общую папку.
Настройка административных прав проводится аналогично настройке прав для каталога. Для этого используется страница Permissions (Разрешения) диалогового окна свойств общей папки.
Лабораторная работа, безопасность общих папок
В этой лабораторной работе вы назначите ролн, разрсшаюшис доступ к общей папке, двум учетным записям пользователей AD. Затем вы настроите папку в качестве модерируемого ресурса, выберете адрес для пересылки сообщений и назначите модераторов папки.
Перед тем как приступать к выполнению заданий, создайте учетные записи для следующих пользователей:
Jenny Lysakcr;
Bob Gage;
Chris Meycr.
Также создайте следующие общие папки в дереве общих папок по умолчанию:
Feedback;
Support.
Упражнение 1. Назначение клиентских ролей
L Откройте Outlook и разверните контейнер Folders (Папки). Затем разверните контейнер All Public Folders (Все общие папки).
Z Правой кнопкой мыши щелкните обшую папку Feedback и в контекстном меню выберите пункт Properties (Свойства). Перейдите на вкладку Permissions (Разре+ шення).
Шелкните Add (Добавить) н добавьте пользователей Jenny Lysakcr, Bob Gage и Chris Meyer. Предоставьте пользователю Jenny разрешения Folder Owner (Владелец папки), пользователю Bob — роль Publishing Editor (Ответственный редактор), а пользователю Chris — роль Editor (Редактор). Обратите внимание на различия в разрешениях, которыми обладают разные роли.
Для завершения щелкните ОК.
Упражнение 2. Настройка модерируемой общей папки
Правой кнопкой мыши щелкните общую папку Support и в контекстном меню выберите пункт Properties (Свойства), Перейдите на а кладку Administration (Управление).
Щелкните Moderated Folder (Управляемая папка).
Установите флажок Set Folder Up As A Moderated Folder (Задать папку в качестве управляемой).
В качестве значения параметра Forward New Replies То (Пересылать новые сообщения) выберите пользователя Jenny Lysnker,
Сделайте пользователей Jenny Lysaker и Bob Gage модераторами этой папки.
Для завершения щелкните ОК.
Прежде всего
Для выполнения упражнений, приведенных в данной главе, необходимо настроить следующие программные и аппаратные компоненты:
Два сервера с операционной системой Microsoft Windows Server 2003, Enterprise Edition, включенных в домен tailspintoys.сот службы каталогов AD. ServerOl должен быть контроллером домена, a Server02 — рядовым сервером* ServerOl должен иметь несколько сетевых интерфейсов. Сетевое подключение Local Area Connection осуществляет подключение к внутренней сети (то есть к той же сети, к которой подключен Server02). Сетевое подключение Local Area Connection 2 моделирует подключение к внешней сстм (физически зто подключение может быть ни с чем не соединено),
ServeгО 1 должен быть сервером корневого центра сертификации предприятия.
На обоих серверах должен быть установлен Exchange Server 2003, Enterprise Edition.
ServerOl и ServerOl должны быть соответственно серверами хранилищ (back-end server) и интерфейса (front-end server).
В сети должен функционировать сервер DNS (Domain Name System, система доменных имен). Как правило, DNS устанавливается на контроллере домена.
Занятие 1. Обзор виртуальных серверов Exchange Server 2003
В главе 6 «Установка кластеров, серверов интерфейса (front-end) и серверов хранилищ (back-end)» вы создали кластерную группу серверов Windows и кластерную группу с балансированием сетевой нагрузки, а также установили {в качестве виртуального сервера) Exchange Server 2003 на каждом узле кластеров. По умолчанию в процессе развертывания Exchange Server 2003 устанавливаются и включаются виртуальные серверы HTTP и SMTP. Виртуальные серверы POP3, 1МАР4 и NNTP также устанавливаются, однако по умолчанию они отключены.
Изучив материал данного занятия, вы сможете:
/ объяснить, каким образом используются виртуальные серверы в кластерной среде;
/ описать функции виртуальных серверов POP3, IMAP4, NNTP, HTTP и SMTP;
/ описать настройки по умолчанию виртуальных серверов POP3, 1МАР4» NNTP, HTTP и SMTP.
Продолжительность занятия — около 45 минут.
Виртуальные серверы в кластерной среде Windows
Виртуальные серверы Exchange пользуются службами кластеризации Windows, которые включены в операционные системы Windows Server 2003, Enterprise Edition, и Windows Server 2003, Datacenter Edition. Эти службы контролируют все аспекты кластеризации Windows. Для серверов хранилищ (back-end) должна быть организована защита от сбоев, и они обычно включаются в кластерную среду Windows (в этом случае можно организовать автоматический переход на другой узел кластера при возникновении сбоя). Exchange Server 2003 использует следующие возможности кластеризации серверов Windows:
Ресурсные DLL Это позволяет Exchange Server 2003 взаимодействовать со службами кластеризации Windows и настраивает Exchange на предоставление функциональности пастеризации Windows.
Группы Виртуальный сервер Exchange в кластере определяется как кластерная группа Windows, содержащая такие ресурсы кластера, как IP-адрес и Exchange Server 2003 System Attendant (Системный помощник Exchange Server 2003).
Ресурсы Виртуальные серверы Exchange содержат такие ресурсы кластеров, как ^IP-адреса», «сетевые именам и «физические диски». Также виртуальные серверы Exchange содержат свои собственные ресурсы, специфические для Exchange.
Архитектура «без разделяемых ресурсов» Хотя все узлы в кластере имеют доступ к общим данным, они не могут обращаться к ним одновременно. Например, если в кластере, состоящем из двух узлов, два ресурса-физических диска назначены узлу /, то узел2 не сможет получить доступ к этим дисковым ресурсам, пока на узле 7 не произойдет сбой или он не перейдет в автономное состояния либо данный дисковый ресурс не будет перемещен на узел 2 вручную* Данное обстоятельство делает невозможным динамическое выравнивание нагрузки в кластерах Windows.
Виртуальные серверы в среде балансирования сетевой нагрузки
Серверы Windows Server 2003 можно объединять & кластер для выравнивания нагрузки сети. Обычно это реализуется на серверах интерфейса (front-end), на которых нагрузку требуется выравнивать обязательно. Балансирование нагрузки сети осуществляется путем создания одинаковых дополнительных виртуальных серверов на всех серверах интерфейса (front-end), которые включены в кластер с балансированием сетевой нагрузки. В этом случае конфигурация каждого сервера в кластере должна быть одной и той же; в противном случае клиента могут работать с разной производительностью, в зависимости от того, на какой сервер они были перенаправлены.
Примечание Кластеризация Windows и балансирование сетевой нагрузки более подробно обсуждались в главе 6. Здесь данные темы рассматриваются кратко, как часть обзора виртуальных серверов.
Требования для работы виртуального сервера Exchange
Для функиионирования виртуального сервера Exchange требуются, как минимум, следующие ресурсы:
статический 1Р-адрес;
сетевое имя;
один или несколько выделенных физических дисков для общедоступного хранил ища;
ресурс Exchange 2003 Server System Attendant (данный ресурс устанавливает другие ресурсы Exchange).
Кипиентские компьютеры подключаются к виртуальному серверу Exchange так же, как они подключаются к изолированному компьютеру, на котором запущен Exchange Server 2003. Операционная система Windows Server 2003 обеспечивает выделение ресурсов ^IP-адрес^, «сетевое 〃八п?» и ресурсов типа адиск», Exchange Server 2003 предоставляет ресурс System Attendant и другие необходимые ресурсы. При создании ресурса System Attendant устанавливаются и все другие нужные и зааисимые ресурсы.
В табл. 9-1 перечислены компоненты Exchange Server 2003 и показаны их зависимости.
Табл. 9-1. Ресурсы
виртуального сервера Exchange Server 2003 и их
зависимости
Компонент
Описание
Зависимости
System Attendant (Системный помощник)
Контролирует создание и удаление всех ресурсов виртуального сервера
Network пате
(Сетевое имя)
Shared disk (Общий диск)
Exchange store (информационное хранилище)
Поддерживает хранилище почтовых яшиков и общих папок для Exchange Server
System Attendant (Системный помощник)
SMTP
Обеспечивает передачу и доставку электронной почты
System Attendant (Системный помощник)
IMAP4
Обеспечивает доступ к сообщениям электронной почты IMAP4-клиентам (необязательный компонент)
System Attendant (Системный помощник)
POP3
Обеспечивает доступ к сообщениям электронной почты РОРЗ-клиентам (необязательный компонент)
System Attendant (Системный помощник)
HTTP
Обеспечивает доступ к почтовым яшикам и общим папкам Exchange через HTTP — например, Microsoft Outlook 2003 Web Access (OWA)
System Attendant (Системный помощник)
Exchange MS Search Instance (Поиск Exchange)
Обеспечивает индексирование содержимого вир- тугального сервера
System Attendant (Системный помощник)
Табл. 9-1. (окончание)
Компонент
Описание
Зависимости
Message transfer agent
Отвечает за коммуникацию с системами Х.400
System Attendant
(МТА) (агент передачи сообщений)
и за взаимодействие с Exchange Server 5.5
(Системный помощник)
Routing service (служба маршрутизации)
Строит таблицы состояний связи
System Al tend ап 1 (Системный помощник)
Примечание В каждом кластере может быть только один МТА. Агент МТА создается на первом виртуальном сервере Exchange. Все доп о л ни тельн ые виртуальные серверы Exchange зависят от этого агента МТА.
Обзор виртуальных серверов POP3
POP3 позволяет клиенту извлекать с сервера его письма (все или только определенное письмо). Клиенты POP3 имеют доступ только к своим почтовым ящикам со входящими сообщениями; они не могут обратиться к другим общим или личным папкам. Протокол POP3 не поддерживает полный набор манипуляций с находящимся на сервере письмом. В случае необходимости прочитанные сообщения могут оставаться на сервере, однако обычно письмо закачивается на клиентскую машину, после чего удаляется. POP3 не отсылает электронные письма — за это отвечает SMTP.
Вы можете настроить виртуальный сервер POP3 на предоставление или запрет доступа для определенных компьютеров, групп компьютеров или целых доменов. Можно предоставить или запретить доступ одиночному компьютеру по его IP-адресу (также можно переопределить доступ к POP3 на уровне пользователей). Группе компьютеров доступ может быть предоставлен или запрещен по их адресу подсети и маске* Также можно контролировать доступ для целого домена, пользуясь его именем.
Вы можете просмотреть список пользователей, подключенных в настоящее время к серверу. Можно отключить любого пользователя из этого списка, не прерывая работы службы и не запрещая новые запросы на подключение.
При установке Exchange Server 2003 автоматически устанавливается виртуальный сервер POP3, который будет использоваться по умолчанию. Следует убедиться, что установленный по умолчанию сервер удовлетворяет требованиям ваших POP3-клцентов.
Примечание На сервере Exchange Server 2003 не устанавливается служба Microsoft Windows Server 2003 POP3, Если нужно установить Exchange Server 2003, то сначала нужно удалить службы Microsoft Windows Server 2003 POP3 川 POP3 Web Administration (если они установлены). Для поддержки РОРЗ-клиентов Exchange использует свою собственную службу Microsoft Exchange POP3. Перед запуском виртуальных серверов POP3 вам нужно включить данную службу на вашем сервере Exchange.
Настройка виртуального сервера POP3
Exchange создает используемый по умолчанию виртуальный сервер POP3 с пустым JP-адресом (All Unassigned). В результате служба POP3 в сети идентифицируется по IP-адресу сервера Exchange. По умолчанию входящие подключения используют TCP-порт 110. а SSL-подключения (Secure Sockets Layer) используют порт 995. Можно использовать IP-адрес, TCP-порт и SSL-порт, устанавливаемые по умолчанию, или назначить другой IP-адрес с любой доступной сетевой карты. Если на сервере Exchange имеется более одного виртуального сервера POP3, то каждый виртуальный сервер должен иметь уникальную комбинацию TCP-порта, SSL-пирта и 1Р*адреса.
Примечание Для включения SSL на виртуальном сервере POP3 нужно запросить и установить сертификат.
По умолчанию доступ к виртуальному серверу POP3 может получить любой РОРЗ- клнент, поддерживающий базовую аутентификацию. Для ограничения доступа можно использовать методы выборочной аутентификации или создать список компьютеров, которым разрешено пользоваться данной службой. Для дальнейшего повышения уровня безопасности можно предоставлять или запрещать доступ к виртуальному серверу POP3 одиночным компьютерам, подсетям и целым доменам. Детальные процедуры защиты виртуального сервера POP3 с использованием шифрования, аутентификации м контроля доступа будут обсуждаться ниже в данной главе.
По умолчанию считается, что виртуальный сервер POP3 может принять неограниченное количество входящих подключений. В действительности существуют огранмче- ния, связанные с конечными ресурсами сервера Exchange Server 2003. Для предотвращения перегрузки сервера можно ограничить число возможных подключений к ресурсу POP3.
Сообщения, посылаемые оиентами Интернета, хранятся в формате Интернета; при чтении сообщения РОРЗ-клиентом не происходит никаких преобразований. Сообщения, посланные MAPI-клиентом (Messaging Application Programming Interface, прикладной программный интерфейс для обработки сообщений), при чтении РОРЗ-клиентом преобразуются из формата RTF (Microsoft Rich Text Formal) в формат MIME (Multipurpose Internet Mail Extensions, многоцелевые Интернет-расширения почты). Если РОРЗ-кли- енты используют кодировку uuencode (UNIX to UNIX encoding), то при конвертации сообщений вместо MIME можно использовать uuencode.
Для того чтобы РОРЗ-кллент смог подключиться к серверу, в AD должен быть создан соответствующий этому клиенту пользователь с почтовым ящиком. Кроме этого на РОРЗ-клиенте нужно указать имя и пароль для заведенной учетной записи. Установив параметры сервера на уровне пользователей, вы сможете организовать на одном и том же виртуальном сервере POP3 поддержку клиентов с разными требованиями. Данная процедура более подробно описана в главе 10 «Настройка протокола SMTP и управ
ление им».
Обзор виртуальных серверов 1МАР4
Как и POP3, протокол IMAP4 позволяет клиенту извлечь с сервера определенное пользовательское письмо. Также 1МЛР4 может только извлекать электронные письма мз почтового я шика пользователя, а для отправки сообшсний вновь используется SMTP. В процедурах настройки и управления виртуальными серверами POP3 и IMAP4 есть много общего. Однако имеются и сушественные различия, поэтому в данной главе 1МАР4 рассматривается в полном объеме, несмотря на риск повторить приведенные ранее сведения о протоколе POP3.
Сравнение IMAP4 и POP3
Протоколы IMAP4 и POP3 являются межсетевыми протоколами сообщений, которые позволяют пользователям полнить доступ к электронной понте. Ни один их этих протоколов не может отправлять электронные письма; для этой цели используется SMTP. Различие между этими протоколами состоит в том, что пользователи манипулируют своими сообщениями в разных местах. POP3 позволяет клиентам скачивать почту из их личных почтовых ящиков на сервере к себе на клиентский компьютер, где и происходит управление сообщениями. IMAP4 позволяет клиентам управлять их электронной почтой непосредственно на сервере. Пользователи IMAP4, в отличие от пользователей POP3, могут получать доступ к другим общим и личным папкам (разумеется, если они имеют соответствующие разрешения на доступ).
Вы можете настроить виртуальный сервер ШАР4 на предоставление или запрет доступа для определенных компьютеров, групп компьютеров или доменов. Можно предоставить или запретить доступ одиночному компьютеру по его IP-адресу (также можно переопределить доступ к IMAP4 на уровне пользователей). Группе компьютеров доступ может быть предоставлен или запрещен по их адресу подсети и маске* Также можно контролировать доступ для целого домена, пользуясь его именем.
Вы можете просмотреть список пользователей, подключенных в настоящее время к серверу. Можно отключить любого пользователя из этого списка, не прерывая работу службы и не запрещая новые запросы на подключение. Виртуальный сервер IMAP4 можно настроить на отображение всех обших папок* Если данный режим отключен, то Exchange выводит только личные папки клиента.
При установке Exchange Server 2003 автоматически устанавливается виртуальный сервер IMAP4, который будет использоваться по умолчанию. Следует убедиться, что установленный по умолчанию сервер удовлетворяет требованиям ваших 1МАР4- клиентов.
Примечание Для поддержки 1МАР4-клиентов Exchange использует свою собственную службу Microsoft Exchange 1МАР4. Перед запуском в и реальных серверов IMAP4 вам нужно включить данную службу на вашем сервере Exchange.
Настройка виртуального сервера IMAP4
Exchange создает используемый по умолчанию виртуальный сервер IMAP4 с пустым IP-адресом (All Unassignecl), В результате служба 1МАР4 в сети идентифицируется по TP-адресу сервера Exchange. По умолчанию входящие подключения используют ТСР-порт 143, а SSL-подключения — порт 993. Можно использовать IP-адрес, ТСР-порт и SSL- порт, устанавливаемые по умолчанию, или назначить другой IP-адрес с любой доступной сетевой карты. Если на сервере Exchange имеются более одного виртуального сервера IMAP4, то каждый виртуальный сервер должен иметь уникальную комбинацию ТСР-порта, SSL-порта и iP-адреса.
Примечание Для ноючения SSL на виртуальном сервере POP3 нужно запросить и установить сертификат. Более подробная информация о SSL приведена в файлах справки Windows Server 2003.
По умолчанию доступ к виртуальному серверу IMAP4 может получить любой IMAP4- клнент, п оддержи в а юши й базовую аутентификацию. Для ограничения доступа можно использовать методы выборочной аутентификации или создать список компьютеров, которым разрешено использовать данную службу. Для дальнейшего повышения уровня безопасности можно предоставлять или запрещать доступ к виртуальному серверу IMAP4 одиночным компьютерам, подсетям и целым доменам. Детальные процедуры защиты виртуального сервера 1МАР4 с использованием шифрования, аутентификации и контроля доступа будут обсуждаться ниже в данной главе.
По умолчанию считается, что виртуальный сервер IMAP4 может принять неограниченное количество входящих подключений. В действительности существуют ограничения, связанные с конечными ресурсами сервера Exchange Server 2003. Для предотвра- 山ин.ня перегрузки сервера можно ограничить число возможных подключений к рссур- су IMAP4.
Сообщеггия, посылаемые клиентами Интернета, хранятся в формате MIME; при чтении сообщения 1МАР4-клиентом не происходит никаких преобразований. Сообщения, посланные MAPI-клиентом при чтении IMAP4-клиентом преобразуются из формата RTF в формат М『МЕ*
Для того чтобы 丨МАР4-клнент смог подключиться к серверу, в AD должен быть создан соответствуюший этому клиенту пользователь, для которого нужно разрешить использование почтового яшика. Кроме этого на IMAP4-клиенте также нужно указать имя и пароль для заведенной учетной записи. Установив параметры сервера на уровне пользователей, вы сможете организовать на одном и том же виртуальном сервере 1МАР4 поддержку клиентов с разными требованиями. Данная процедура более подробно описана в главе 10.
Обзор виртуальных серверов NNTP
Протокол NNTP определяет набор клиентских и серверных команд, используемых для доступа к группам новостей (newsgroups). Exchange Server 2003 использует виртуальные серверы NNTP, чтобы обеспечить пользователям Outlook возможность принимать участие в телеконференциях через Интернет. Можно также разрешить пользователям, которые пользуются программами, поддерживающими NNTR доступ к находящимся на серверах Exchange общим папкам групп новостей.
Пользователи могут читать н посылать сообщения в группы новостей (телеконференции) NNTP, которые реализованы в Exchange в виде общих панок. Сообщения в группах новостей могут быть реплицированы на узлы общемировой системы серверов новостей Usenet посредством источников новостей (newsfeeds). Для того чтобы в группу новостей попадали только проверенные (санкционированные) сообщения, этой группе новостей можно назначить модератора,
В отличие от POP3 и 1МАР4, виртуальные серверы NNTP в Exchange Server 2003 не используют какую-либо встроенную службу Exchange, Вместо этого используется служба NNTP для Windows Server 2003 (или Windows 2000 Serve。* Данная служба разработана для поддержки изолированного сервера новостей, что упрощает создание групп новостей. При установке Exchange Server 2003 служба NNTP расширяется. Это позволяет виртуальному серверу NNTP взаимодействовать с другими серверами новостей через источники новостей (newsfeeds).
С помощью виртуального сервера NNTP можно централизованно управлять службами групп новостей, а также контролировать аутентификацию н подключения пользователей. Для обслуживания на одном сервере Exchange нескольких доменов можно создать дополнительные виртуальные серверы NNTR
Вы можете создавать как общие, так и личные виртуальные серверы и настраивать различные режимы аутентификации для каждого из них. Общий сервер новостей может использоваться, например, для предоставления пользователям быстрого и удобного доступа к информации, связанной с технической поддержкой.
Виртуальные серверы NNTP могут работать в архитектуре «основной сервер/подчи- ненный сервер». Для создания основного сервера используется мастер New NNTP Feed Wizard(У1опь\й источник новостей NNTP), позволяющий указать в качестве подчиненного сервера определенный удаленный сервер (эта схема используется вместо непосредственного назначения основного сервера).
В Windows 2000 Server служба NNTP запускается автоматически» В операционной системе Windows Server 2003 это не так. здесь данную службу нужно настраивать н запускать вручную. Можно изменять установленные по умолчанию параметры виртуального сервера NNTP и настраивать дополнительные виртуальные серверы NNTP,
Посылая контрольные сообщения (control messages), можно отменить регистрацию сообщения, создание новой и удаление существующей группы новостей. Контрольные сообщения пол даются службой NNTP и регистрируются в одной из специальных групп новостей (controlxancel, control.newgroup и control.rmgroup}. которые создаются автоматически для управления контрольными сообщениями.
Настройка виртуального сервера NNTP
Exchange создает используемый по умолчанию виртуальный сервер NNTP с пустым IP-адресом (All Unassigned), В результате служба NNTP в сети идентифицируется по IP-адресу сервера Exchange. По умолчанию входящие подк.пючеиия используют ТСР-порт 119, а SSL-подключения — порт 563. Можно использовать IP-адрес, ТСР-порт и SSL- порт, устанавливаемые по умолчанию, или назначить другой 1 P-адрес с любой доступной сетевой карты. Если на сервере Exchange имеется более одного виртуального сервера NNTP. то каждый виртуальный сервер должен иметь уникальную комбинацию TCP-порта, SSL-порта и 1Р-адрсса*
По умолчанию считается, что виртуальный сервер NNTP может принять неограниченное количество входящих подключений. В действительности существуют ограничения, связанные с конечными ресурсами сервера Exchange Server 2003. Для предотвращения перегрузки сервера можно ограничить число возможных подключений к ресурс су NNTP. Также можно ограничить время, в течение которого простаивающие подключения остаются зарегистрированными на сервере. По умолчанию Exchange отключает неактивные подключения после 10 минут простоя. Кроме этого, вы можете контролировать размер одного сообщения, который пользователь может зарегистрировать, или ограничить общий размер сообщений, которые пользователь может зарегистрировать за один сеанс подключения-
Можно задать политики устаревания, ограничиваюшие срок хранения статей на виртуальном сервере NNTP для группы новостей. Политика устаревания может применяться к одной группе новостей или ко всем группам новостей на виртуальном сервере.
Контролировать доступ к виртуальному серверу NNTP можно различными способами. Вы можете указать, смогут ли к серверу подключаться анонимные пользователи или всегда будет требоваться указать корректные имя пользователя и пароль. Если пользователи подключаются по обшей сети, то можно зашифровать данное подключе* ние с помощью SSL (при условии, что вы получили нужный сертификат). Вы можете явно предоставлять или запрещать доступ по IP-адресу клиента, а также включать илн исключать одиночные компьютеры, подсети н целые домены. Также можно указывать пользователей, которым разрешается администрировать виртуальный сервер (пользователям предоставляется доступ к ограниченному набору административных задач на сервере NNTP). Эти пользователи смогут изменить настройки сервера.
По умолчанию Exchange на виртуальных серверах NNTP воючаст базовую аутентификацию. Для повышения уровня безопасности совместно с базовой аутентификацией можно использовать протокол SSL для шифрования всей информации. При применении на виртуальных серверах NNTP базовой аутентификации анонимная аутентификация будет запрещена (аненнмннй пользователь не сможет подключиться). Если вы хотите использовать как анонимную, так и базовую аутентификацию> то нужно создать дополнительные серверы NNTR Кроме этого можно пользоваться аутентификацией, интегрированной с Windows, хотя на практике это встречается редко.
Новую группу новостей можно создать с помощью мастера Use New Newsgroup Wizard. Служба NNTP автоматически создает каталог для новой групп Тэт новостей, а бы можете установить для нее признак модерируемой группы новостей. Для распространения статей между несколькими компьютерами можно использовать источники новостей (newsfeeds), С помощью источников новостей можно распространять статьи из групп новостей между серверами внутри вашей организации, а также между вашей организацией и Интернетом через узел Usenet. Для распространения групп новостей между серверами можно использовать главные, подчиненные и одноранговые источники новостей. Один и тот же сервер может иметь как подчиненный, так и одноранговый источники новостей.
Виртуальный каталог — это общая папка-хранилище» позволяющая сохранять файлы группы новостей на нескольких дисковых устройствах. С помощью этого можно повысить производительность сильно загруженного устройства н увеличить общую емкость хранилища. Кроме этого виртуальные каталоги позволяют изменять физическое расположение каталога без изменения имени соответствующей группы новостей.
Обзор виртуальных серверов HTTP
W)rld Wide Web использует протокол HTTP для задания схемы форматирования сообщений и для определения действий web-серверов и браузеров в ответ на команды HTTP. Протокол WebDAV (Wsb Distributed Authoring and Vsrsioning) является расширением протокола HTTP версии 1」，позволяющим HTTP-клиенту извлекать информацию, хранящуюся в информационном хранилище, и оперировать этой информацией»
Exchange Server 2003 поддерживает виртуальные серверы HTTP и протокол WebDAV, обеспечивая выполнение следующих функций:
Доступ к документам HTTP и WfebDAV поддерживают совместную среду, в которой пользователи могут редактировать документы, защищать данные, объединять ресурсы в общие папки, а также перемещать или копировать файлы.
Доступ к электронной почте HTTP и WebDAV могут использоваться для доступа к почтовым ящикам и сообщениям, для извещения пользователей о поступлении новой почты; также данные протоколы позволяют пользователям перемещать, копировать или удалять электронную почту на сервере.
Досту» к приложениям HTTP и WebDAV являются стандартными протоколами уровня приложения, которые позволяют получить доступ к почтовым яшикам и общим папкам посредством уникального UR£ (Uniform Resource Locator, стандартный указатель на ресурс). Пользуясь данной возможностью, прикладные приложения могут извлекать данные непосредственно из информационного хранилища.
Exchange обеспечивает поддержку протокола 蚀bDAV через виртуальные серверы HTTP. Internet Information Services (IIS) преобразует содержимое папки, отображаемое вирт>гальным сервером HTTP, в web-страницы и посылает их браузеру пользователя. IIS создает используемый по умолчанию виртуальный сервер HTTP (также его называют виртуа,тьным сервером Exchange); управление этим сервером осуществляется с помощью IIS Manager, Однако если вы в Exchange создадите дополнительные виртуальные серверы HTTP, то администрировать их будет нужно с помощью Exchange System Manager.
Используемый по умолчанию виртуальный сервер HTTP устанавливается, настраивается и включается автоматически при установке Exchange Server 2003. Этот виртуальный сервер обеспечиаает пользователям доступ к общим и личным папкам. Адрес http://server_name/pub!ic позволяет обращаться к общим лапкам, a h ttp://server_n а те/ exchange/mailbox_name ——к почтовым ящикам.
Настройка виртуального сервера HTTP
Exchange создает виртуальный сервер Exchange с пустым IP-адресом (All Unassigned). В результате служба HTTP в сети идентифицируется по IP-адресу сервера Exchange. По умолчанию входящие подключения используют ТСР-порт 80, а SSL-подключения — порт 443. Можно использовать 1Р-адрес, TCP-порт и SSL-порт, устанавливаемые по умолчанию, или назначить другой IP-адрес с любой доступной сетевой карты. Если на сервере Exchange имеются более одного виртуального сервера HTTP, то каждый виртуальный сервер должен иметь уникальную комбинацию TCP-порта, SSL-порта и 1Р*адрсса.
Устанавливаемые по умол чанию параметры аутентификации виртуального сервера HTTP зависят от того, является ли сервер Exchange сервером интерфейса (front-end
server) или сервером хранилищ (back-end server). Например, на дополнительном виртуальном сервере HTTP, являющемся сервером хранилищ, по умолчанию включен режим интеграции с аутентификацией Wndows, а на сервере, являющемся сервером интерфейса, данный режим по умолчанию отоючен. Базовая аутентификация по умолчанию включается как на серверах хранилищ, так н на серверах интерфейса. Также на серверах обоих типов по умолчанию отключен анонимный доступ. Если разрешить анонимные подключения, то это позволит НТТР^клиентам обращаться к ресурсам без указания учетной записи пользователя Windows. Виртуальный сервер HTTP можно настроить на использование шифрования SSL (предварительно следует получить и установить нужный сертификат).
Для предотвращения перегрузки сервера можно ограничить число возможных подключений к виртуальному серверу HTTP. Также можно ограничить время, в течение которого простаииающие подключения остаются зарегистрированными на сервере. По умолчанию Exchange ограничивает число подключений до 1000 и отключает неактивные соединения после 60 секунд простоя.
Создание дополнительных виртуальных серверов ННТР и виртуальных каталогов
Для одновременной реализации различных вариантов работы можно создать дополни-* тельные виртуальные серверы HTTP. Предположим, напрнмер, что вы хотите на используемом по умолчанию виртуальном сервере пользоваться аутентификацией, интегрированной с Windows; одновременно с этим вам необходимо обеспечить сторонних пользователей информацией о вашей компании. В этой ситуации можно разрешить анонимный доступ на отдельном виртуальном сервере HTTP.
С помощью дополнительных виртуальных серверов HTTP можно организовать доступ к папке, которую предоставляет используемый по умолчанию web-сайт в HS-Для каждого создаваемого виртуального сервера нужно определить один виртуальный каталог; который будет выступать в качестве корневого каталога сервера. Также можно создавать доп о л нительные виртуальные каталоги для публикации содержимого, не содержащегося внутр* собственной структуры каталогов сервера. Например, с помощью виртуального каталога можно обеспечить доступ к общей папке (или почтовому ящику)» находящейся в другом домене.
Для настройки корневого каталога сервера нужно при создании нового виртуального сервера HTTP обеспечить доступ к общей папке или общему дереву папок, а также к домену почтового ящика SMTP. При этом вы можете изменить домен электронной почты, который предлагается для виртуального сервера HTTP по умолчанию, или создать дополнителы iые виртуальные каталоги для предоставления доступа к почтовым ящикам в нескольких доменах.
При создании виртуоьного каталога вы предоставляете пользователям доступ к содержимому общей папки посредством URL вида http://virtualaerver/public, где virtuaiserver — DNS-имя виртуального сервера. Также получить доступ к опубликованному каталогу можно с помощью Microsoft Internet Explorer или любого другого оиен- та, поддерживающего протоколы HTTP и 蚀bDAV (данные протоколы являются промышленным стандартом). С помощью Microsoft Office можно создавать и сохранять документы непосредственно в каталоге HTTP. Для этого используется специальный контейнер 蚀b Folders (web-папки), позволяющий работать с файлами и папками на web-сервере точно так же, как с файлами и папками н Проводнике Windows.
Контроль доступа к виртуальному серверу HTTP
Виртуальные серверы HTTP позволяют осуществлять авторизацию при работе 6 совместной среде, Когда вы организуете совместную работу с конфиденциальными материалами, вам ну*но контролировать доступ к этим данным. Однако одновременно с этим может стоять задача предоставления сторонним пользователям доступа к обшей инфор^ мании. В этом случае можно использовать разные виртуальные серверы HTTP и для каждого из них задать различные параметры доступа.
Для виртуального каталога можно установить разрешения на его чтение, запись и просмотр. После этого все пользователи получат те же самые разрешения на доступ к папкам или почтовым ящикам» находящимся внутри данного виртуального каталога. Настройки виртуального каталога являются общими ограничениями, налагаемыми 11S; они не перекрывают разрешения на доступ к почтовым ящикам и общим папкам, которые установлены на уровне учетной записи пользователя.
По умолчанию, после завершения стандартной установки Exchange пользователи могут обращаться к своим личным почтовым ящикам посредством URL вида http:// server name/exchange/mailbox_name. При создании нового хранилища почтовых ящиков ему автоматически назначается другой URL. Данный URL строится на основе имени виртуального каталога.
0WA
Во время установки Exchange Server 2003 происходят установка виртуального сервера HTTR используемого ло умолчанию, и настройка его на поддержку 0WA, Пользуясь OWA, вы можете настроить Exchange таким образом, чтобы пользователи с помощью web-браузера могли получать доступ к электронной почте, расписаниям, общедоступным приложениям и к любой части содержимого информационного хранилища. Для того, чтобы пользователи имели доступ к OWA из Интернета, ваш сервер Exchange Server 2003 должен быть подключен к Интернету иметь внешний IP-адрес и зарегистрированное доменное имя.
Нужно ли вам зарегистрированное доменное имя?
Теоретически вам не требуется зарегистрированное доменное имя, так как пользователи OWA могут обращаться к своей электронной почте через 1Р-адрес. Однако на практике данный подход приводит к возникновению массы проблем для администратора и пользователей.
Запретить использование OWA в структуре Exchange можно путем остановки виртуального сервера HTTP. Также использование OWA можно запретить на уровне пользователей (данная процедура будет подробно описана в главе 10).
Подготовка к экзамену Помните, что OWA — это приложение, а не протокол. Управление OWA осуществляется виртуальным сервером HTTR Не существует специального виртуального сервера OWA.
Обзор виртуальных серверов SMTP
Протокол SMTP является межсетевым стандартом для передачи и доставки электронных сообщений. Exchange Server 2003 расширяет службу SMTR чтобы позволить адм и- ни страторам более детально контролировать маршрутизацию и доставку сообщений, а также обеспечить безопасный доступ и защищенные каналы для управления данной службой.
Виртуальный сервер SMTP автоматически устанавливается, настраивается и включается в процессе развертывания Exchange Server 2003. Вы можете изменить настройки этого сервера, выставив нужные параметры безопасности, доставки и фильтрации сообщений. Для поддержки других систем сообщений и передачи почты между 1МАР4- и РОРЗ-клиентами можно настроить виртуальный сервер SMTP и коннектор SMTP (SMTP Connector).
SMTP тесно связан с DNS; для поддержки ваших виртуальных серверов SMTP вы можете добавить в DNS ресурсные записи типа MX (Mail Exchanger, почтовый обмен). Можно настроить SMTP на «выталкиванием через коммутируемое подключение электронной почты, которая запрашивается вашим поставщиком услуг Интернета.
Детальная настройка SMTP обсуждается в главе 10, поэтому данная глава содержит только краткий обзор виртуального сервера SMTP. На виртуальном сервере SMTP нельзя администрировать домсньь Управление локальными доменами осуществляется с помощью политик Recipient (Получатель), а большинство параметров, необходимых для отправки почты в удаленные домены, настраиваются через коннектор SMTP.
Если у вас имеется несколько групп пользователей, к которым предъявляются различные требования безопасности или различные ограничен ня, связанные с размером сообщений, то можно создать дополнительные виртуальные серверы SMTP. Также вы можете, например, настроить один виртуальный сервер на поддержку внешней электронной почты, приходящей из Интернета, а другой виртуальный сервер ——на поддержку внутренней электронной почты.
При организации поддержки POP3- и I МАР4-клиентов вы должны будете разрешить для этих клиентов транзитную пересылку почты. Для всей структуры Exchange транзитную пересылку писем лучше не разрешать, так как это может привести к распространению спама. Для управления данной ситуацией можно пользоваться дискреционными списками контроля доступа (discretionary access control lists, DACLs) на одиночном виртуальном сервере SMTP; наряду с этим, зачастую бывает проще и безопасней создать для клиентов, которым требуется транзитная пересылка» дополнительный виртуальный сервер. Данная процедура более подробно будет описана в главе 10.
Настройка виртуального сервера SMTP
Виртуальный сервер SMTP идентифицируется комбинацией отображаемого имени (например, Default SMTP Virtual Server), IP-адреса и TCP-порта. Также можно выбрать IP-адрес, который будет ассоциирован с конкретным виртуальным сервером; по умолчанию этот адрес не определен (All Unassigned). По умолчанию SMTP использует ТСР- порт 25. С этим портом могут работать несколько виртуальных серверов, однако каждому из них необходимо назначить свой уникальный IP-адрес,
Виртуальный сервер SMTP можно настроить на аутентификацию входящих подклю^ чений, а также на предоставление учетных данных для проверки подлинности на принимающем сервере. Доступны три метода аутентификации: анонимный доступ, базовая
аутентификация и аутентификация, интегрированная с Windows. Можно выбрать один, любые два или все три метода. По умолчанию режим анонимного доступа отключен. Для того чтобы разрешить анонимный доступ, нужно вручную отключить аутентификацию на виртуальном сервере.
Если вы используете базовую аутентификацию, то можно потребовать от всех клиентов использовать для подключения к виртуальному серверу SMTP шифрование TLS (Transport Layer Security защита транспортного уровня). Схема шифрования TLS была разработана на основе и по подобию SSL; она защищает подключение и шифрует пароль, который при базовой аутентификации передается в виде открытого текста. Однако TLS подходит лишь для двухточечных SMTP-подключений» где каждая нз сторон знает, что другая поддерживает TLS. Данная схема не может применяться, если клиент получает доступ через Интернет. Для разворачивания TSL-шифрования необходимо получить соответствующий сертификат.
Можно предоставить или запретить доступ к виртуальному серверу SMTP определенным пользователям или группам. По умолчанию к виртуальному серверу SMTP могут обращаться клиенты с любыми IP-адресами. Вы можете установить ограничения, указав один IP-адрес, группу адресов (с помощью маски подсети) или имя домена Windows.
Внимание! Если вы предоставляете пли запрещаете доступ, пользуясь именем домена, то необходимо для каждого подключения настроить обратный поиск D席5 (reverse DNS lookup)* Обратный поиск DNS ядляется ресурсоемкой операцией и может привести к снижению производительности.
Можно настроить виртуальный сервер SMTP таким образом, чтобы ограничить число сообщений, отсылаемых при одном подключении. Можно увеличить производительность системы, разрешив использование нескольких подключений для доставки сообщений. Также можно ограничить размер сообщения и число получателей сообщения.
Лабораторная работа. Включение и запуск служб POP3, IMAP4 и NNTP
На этом практическом занятии вы включите н запустите службы, которые по умолчанию отключены. Затем вы проверите состояние соответствующих виртуальных серверов и в случае гчеобходимости запустите их.
Упражнение 1. Запуск отключенных служб
Первоначально виртуальные серверы POP3* IMAP4 и NNTR которые используются по умолчанию, находятся в отключенном состоянии. Для их включения необходимо запустить соответствуют»е службы. Если вы хотнте, чтобы служба запускалась всякий раз после перезагрузки сервера Exchange, то для этой службы нужно выбрать автоматический тип запуска. Выбор ручного типа запуска позволит вам решить, следует ли запускать данную службу. Как правило, вручную службы запускаются при устранении каких-либо неисправностей в системе. Для выполнения нашего практического задания мы настроим на сервере ScrverOl все три службы на автоматический запуск.
Примечание В данном практическом задании используется сеть из двух компьютеров; вы будете выполнять это упражнение на сервере Served)h зарегистрировавшись под учетной записью администратора домена. В реальной сети согласно принципу наименьших привилегий вы должны зарегистрироваться под учетной записью обычного пользователя на клиентском компьютере, на котором установлены соответствующие администраторские утилитыt if воспользоваться командой runas.
Для включения и запуска отключенной службы необходимо выполнить следующие шаги:
L Открыть на ServerOl консоль Services (Службы)*
Шелкиуть праной кнопкой мыши на Microsoft Exchange POP3 и выбрать в контекстном меню пункт Properties (Свойства). Для данной службы откроется диалоговое окно Properties (Свойства) (см. рис. 9-1).
Рис. 9-1. Диалоговое окно со свойствами службы Microsoft Exchange POP3
Выберите пункт Automatic (Автоматический) R раскрываюшемся списке Startup Т\ре (Тйл запуска),
Нажмите Apply (Применить).
Нажмите Start (Запуск).
Нажмите ОК.
Повторите данную процедуру для служб Microsoft Exchange IMAP4 и Network News Transport Protocol (NNTP)*
Упражнение 2. Запуск виртуальных серверов POP3, IMAP4 и NNTP
Нельзя быть уверенным в том, что виртуальные серверы запустятся после того, как вы включили и запустили соответствующие службы. Вы должны проверить эти серверы и в случае необходимости запустить их.
Совет Лучше проверять виртуальные серверы всякий раз после перезагрузки сервера Exchange. Даже если службы настроены на автоматический запуск, виртуальные серверы не всегда запускаются после перезагрузки >
Для запуска виртуальных серверов POP3, 1МАР4 и NNTP необходимо выполнить следующие шаги:
Запустите Exchange System Afa п age г (Системный диспетчер Exchange).
Перейдите к Administrative Groups\First Administrative Group\Servers\ServerO 1 \ Protocols\NNTP (Административные группы\Первая административная группа\Сер- uepbi\ServerO 1 \Пpoтoкoлы\NNTP)4
Примечание Если Exchange System Manager не настроен на отображение административных групп, то щелкните правой кнопкой мыши на пункт lailSpinlbys (Exchange), выберите пункт Properties (Свойства) в контекстном меню, установите флажок Routing Groups and Administrative Groups (1руппы маршрутизации и административные группы), после чего нажмите ОК.
Щелкните правой кнопкой мыши на Default NNTP Virtual Server. Если в контекстном меню пункт Start (Запуск) неактивен (a Stop (Остановка) активен), то сервер уже запушен. В противном случае нажмите Start (Запуск),
Раскройте пункты Expand IMAP4 и POP3 на панели консоли и повторите ту же процедуру для Default 1МАР4 Virtual Sener н Default POP3 Virtual Server.
Примечание Определить, запущен или нет виртуальный сервер, можно также по его значку. Если вы видите белую букву X в красном круге, то это означает, что соответствующий сервер остановлен. Если вы видите две черных полосы в белом круге, то это означает, что соответствующий сервер приостановлен.
Упражнение 3. Назначение IP-адресов виртуальным серверам
На занятии 2 данной главы вы будете создавать и настраивать дополнительные виртуальные серверы. Перед этим вам нужно будет назначить IP-адрес для сетевого подключения Local Area Connection на виртуальных серверах по умолчанию. После этого вы сможете в следующем упражнении назначить IP-адрес для сетевого подключений Local Area Connection 2 на дополнительных виртуальных серверах. В данном упражнении подразумевается, что виртуальные серверы* используемые по умолчанию, уже запу- тены*
Для назначения IP-адресов необходимо выполнить следующие шаги:
L Запустите Exchange System Manager (Системный диспетчер Exchange).
Перейдите к Administrative Groups\First Administrative Group\Servers\Server01\ Protocols\IMAP4 (Административные группы\Первая административная группа\Сер- веры\5е rver01\ Протоколы\1 М АР4).
Щелкните правой кнопкой мыши на Default IMAP4 Virtual Server. Нажмите Pause (Приостановить).
Снова щелкните правой кнопкой мыши на Default IMAP4 Virtual Server. Нажмите Properties (Свойства).
Перейдите на вкладку General (Общие) и выберите пункт IP address of Local Area Connection (IP-адрес сетевого подключения Local Area Connection) в раскрывающемся списке IP Address (IP-адрсс).
Нажмите Advanced (Дополнительно) для просмотра настроек виртуального сервера (см. рис. 9-2). Нажмите ОК*
Рис. 9-2. Настройка виртуального сервера INIAP4, используемого по умолчанию
Нажмите ОК, чтобы закрыть диалоговое окно Properties (Свойства),
Щелкните правой кнопкой мыши на Default IMAP4 Virtual Server. Нажмите Pause (Приостановить),
Повторите ту же процедуру для виртуальных серверов POP3, NNTP н SMTR
Подготовка к экзамену Если вы попытаетесь выполнить данную процедуру для настройки виртуального сервера HTTP по умолчанию (виртуального сервера Exchange), то она не сработает. Запомните, что используемый по умолчанию вир^ туальный сервер HTTP создается с помощью HS, а для его настройки следует нс- пользовать IIS Manager,
Откройте консоль Internet Information Services (IIS) Manager,
IL Раскройте узел Server01\Web Sites, щелкиите правой кнопкой мыши на Default Web Site и нажмите Properties (Свойства).
Перейдите на вкладку Web Site (Web-сайт) н выберите пункт IP address of Local Area Connection (1Р*адрес сетевого подключения Local Area Connection) в раскрывающемся списке IP Address (IP-адрес),
Нажмите OK, чтобы закрыть диалоговое окно Properties (Свойства).
Занятие 2. Настройка параметров виртуального сервера
На этом занятии во создадите дополнительные виртуальные серверы межсетевых протоколов н настроите эти серверы. В принципе, можно настраивать виртуальные серверы, используемые по умолчанию, однако, как правило, параметры этих серверов (кроме значения IP-адреса) лучше оставлять без изменений, чтобы не нарушить нормальную работу Exchange.
Изучив материал данного занятия, вы сможете:
создавать и настраивать дополнительный виртуальный сервер HTTP;
создавать и настраивать дополнительный виртуальный сервер NNTP;
создавать и настраивать дополнительный виртуальный сервер POP3;
создавать и настраивать дополнительный виртуальный сервер IMAP4;
создавать “ настраивать дополнительный виртуальный сервер SMTP.
Продолжительность занятия 一 около 120 минут.
Создание дополнительных виртуальных серверов
На данном занятии вы создадите на сервере ServerOl виртуальные серверы, используемые по умолчанию (ServerOl имеет несколько сетевых интерфейсов и является сервером хранилищ (back-end)). Как правило, новый виртуальный сервер создается, если для различных групп пользователей требуется обеспечить разные уровни аутентификации или разные критерии доступа либо необходимо шифровать часть сетевого трафика (но не весь трафик). Также дополнительные виртуальные серверы могут выполнять следующие функции, которые зависят от протокола сервера:
HTTP Дополнительные виртуальные серверы HTTP могут обеспечивать несколько разных режимов совместной работы, для каждого из которых требуется организовать отличные от других уровни аутентификации и контроля доступа. С помощью дополнительных виртуальных серверов HTTP можно организовать доступ к папкам, которые предоставляет используемый по умолчанию web-сайт. При создании дополнительного виртуального сервера HTTP можно также создать дополнительный виртуальный каталог Также можно использовать дополнительные виртуальные ка* талоги для публикации содержимого, не содержащегося внутри собственной структуры каталогов сервера.
NNTP Дополнительные виртуальные серверы NNTP могут создаваться для управления несколькими доменами с одного сервера Exchange. Например, вы можете использовать виртуальный сервер по умолчанию для доступа к внешним группам и источникам новостей и создать дополнительный виртуальный сервер для внутренних групп новостей.
в POP3 и IMAP4 Дополнительные виртуальные серверы POP3 и 1МАР4 создаются в том случае, когда имеются группы к-пиентов с разными требованиями. Например, одна группа РОРЗ-клиентов может понимать сообщения в формате MIME, а другая группа использовать uuencode. Если в каждую из групп входит достаточно много пользователей, то можно создать дополнительный виртуальный сервер. Если вторая группа состоит из небольшого количества клиентов, то можно настроить параметры виртуального сервера на уровне пользователей.
SMTP Можно создать дополнительный виртуальный сервер SMTP и настроить один виртуальный сервер на обслуживание электронной почты, доставляемой через Интернет, а другой — на обслуживание внутренней почты. Также можно создать дополнительный виртуальный сервер для транзитной пересылки почты для РОРЗ- и 1МАР4-клиентов. Зачастую, однако, подобная конфигурация лучше реализуется на коннекторе SMTB а не на виртуальном сервере. Более подробно данная проне- дура описывается в главе 10.
Настройка параметров виртуального сервера
При создании виртуальных серверов вы задаете для них значения основных параметров (IP-адрес и, в случае необходимости, номера портов TCP и SSL). Дополнительные параметры на новом виртуальном сервере могут устанавливаться как во время его установки, так м позднее. Если вы хотите изменить конфигурацию уже запущенного виртуального сервера, то нужно сначала приостановить его, выполнить нужные изменения и заново запустить.
Настройка виртуального сервера HTTP
При создании нового виртуального сервера HTTP нужно назначить ему уникальный идентификатор, то есть уникальную комбинацию 1Р・адреса, ТСР-порта, SSL-порта и имени узла. Также нужно указать виртуальный каталог сервера для обеспечения аосту- па к общей папке и почтовому ящику. Настраивать новый созданный виртуальный сервер можно с помощью Exchange System Manager (напомним, что используемый по умолчанию виртуальный сервер HTTP — виртуальный сервер Exchange — конфигурируется с помощью IIS).
Вы можете выполнить любое из приведенных ниже действий (или все эти действия):
Ограничить число конкурирующих друг с другом подключений к виртуальному серверу и указать промежуток времени в секундах, по истечении которого будет возникать тайм-аут для безуспешных попыток подключения.
Контролировать доступ к серверу путем установки ограничений на подключения, настройки разрешений на чтение, запись и просмотр, установки доступа к сценариям и исполняемым файлам, а также изменения методов аутентификаци и (в случае необходимости можно разрешить анонимный доступ).
Создавать дополнительные виртуальные каталоги для публикации содержимого, не содержащегося внутри собственной структуры каталогов сервера. Виртуальные каталоги отображаются в клиентских браузерах точно так же, как если бы они были частью дерева каталогов виртуального сервера. Кроме этого, можно установить путь к документу, который будет открываться по умолчанию.
Настройка виртуальных серверов POP3 и IMAP4
Проиед>гры создания и настройки виртуальных серверов POP3 и IMAP4 практически идентичны. Новый виртуальный сервер POP3 создается с помощью мастера New POP3 Virtual Server Wizard, где нужно указать IP-адрес и TCP-порт сервера. Новый виртуальный сервер IMAP4 создается с помощью мастера New IMAP4 Virtual Server Wizard, где нужно указать IP-адрес и ТСР-порт сервера. После завершения работы соответствующего мастера, вы можете настроить параметры виртуального сервера с помощью Exchange System Manager. Вы можете выполнить любое нз приведенных ниже действий (или все эти действия):
Контролировать доступ к серверу, изменяя методы аутентификации. Если вы хотите использовать шифрование SSL, то вам нужно получить, установить и назначить соответствующий сертификат.
Защищать доступ по IP-адресу, подсети или имени домена.
Ограничивать число одновременных подключений к виртуальному серверу и время, в течение которого неактивные подключения остаются зарегистрированными на сервере. По умолчанию Exchange отключает простаивающие подключения через 30 минут.
Настраивать поддержку клиентов, указывая определенные форматы сообщений. На виртуальных серверах POP3 можно задать формат uuencode и поддерживать клиентов Macintosh с помощью BinHex для Macintosh.
Отключать вывод полного списка папок для повышения производительности клиентов при работе с большим количеством папок (только для IMAP4).
Разрешить быстрое извлечение сообщений для клиентов, которым не требуется знать точный размер писем (только для IMAP4).
Настройка виртуальных серверов NNTP
Дополнительные виртуальные серверы NNTP создаются с помощью мастера New NNTP Virtual Server Wizard, где нужно указать IP-адрес и TCP-порт сервера. Также здесь задаются путь к внутренним файлам, тип устройства, на котором расположено хранилище, н путь к виртуальному каталогу, где хранится содержимое новостей. После завершения работы мастера, вы можете настроить параметры виртуального сервера с помощью Exchange System Manager. Вы можете выполнить любое из приведенных нн*е действий (или все эти действия):
Устанавливать ограничения на подключения и посылаемые сообщения.
Контролировать доступ к серверу, изменяя методы аутентификации. Если вы хотите использовать шифрование SSL, то вам нужно получить, установить и назначить соответствуюший сертификат* Также можно защищать доступ по IP-адресу, подсети или имени домена.
Создавать группы новостей и политики устаревания новостей. Если вы создаете модерируемую группу новостей, то нужно задать путь к каталогу в котором статьи хранятся до тех пор, пока модератор нс одобрит их. Также необходимо указать путь к промежуточному каталогу виртуального сервера SMTP, который используется для
модерируемых групп. Как правило, для этого используется виртуальный сервер SMTP по умолчанию, а путь совпадает с \Inetpub\Mailroot\Pickup.
Создааать источник новостей, как в архитектуре ^основной сервер/подчиненный сервера, так и в одноранговой конфигурации.
Настройка виртуальных серверов SMTP
Дополнительные виртуальные серверы SMTP создаются с помощью мастера New SMTP Virtual Server Wizard, где нужно указать 1Р'Здрсс сервера. Изменить устанавливаемые по умолчанию параметры портов TCP н SSL можно с помощью Exchange System Manager. Вы можете выполнить любое из приведенных ниже действий (или все эти действия): ■ Настроить входящие и исходящие подключения.
Настроить параметры аутентификации для входящих подключений и исходящих сообщений. В случае необходимости можно включить на сервере режим разрешения анонимной электронной понты* Данный режим следует использовать осторожно, так как разрешение анонимной электронной почты позволяет неавторизованным пользователям посылать сообщения, используя некорректные адреса зарегистрированных пользователей.
Включить TLS-шифрование (если вы получили нужный сертификат).
Установить ограничения на IP-адрес и имя домена, а также разрешить или запретить пользователям или группе посылать сообщения. Кроме этого, можно настроить фильтрацию.
Настроить транзитную пересылку почты. Данной возможностью следует пользовать* ся с предельной осторожностью, так как транзитная пересылка почты увеличивает риск того, что ваша структура Exchange будет использована для распространения спама.
Ограничить размер сообщения, число получателей и число сообщений, которые можно отослать за одно подключение. Также можно изменить месторасположение очереди SMTP.
Указать место хранения копий отчетов о недоставленных сообщениях и задать заменяющий домен для замены в заголовке письма реального идентификатора место* расположения хранилища.
Настроить доставку сообщений, указав интервалы повторной отсылки сообщений и максимальное количество сегментов (пересылок) между узлами SMTR после превышения которого считается, что сообщение невозможно доставить* Также вы можете указать полностью уточненное доменное имя (fully qualified domain name, FQDN) н настроить сервер либо на работу в режиме узла диспетчеризации, либо на пересылку исходящей почты на узел диспетчеризации. Можно включить обратный поиск DNS и создать обратный список DNS,
Подготовка к экзамену Заменяющий домен на виртуальном сервере SMTP заменяет имя локального домена в поле заголовка Mail From (Почта от). Данная замена происходит только на первом сегменте пересылки письма и относится к информации заголовка SMTP-сообщения. Заменяющий домен не влияет на строку From (От), которая находится в теле сообщения.
Как видно из приведенного выше списка, у виртуального сервера SMTP имеется много настраиваемых параметров. Также нужно настраивать поддержку DNS, а с помощью консоли Routing A fid Remote Access можно настроить параметры подключений (таких, как коммутируемое подключение к поставщику услуг Интернета). Кроме этого, зачастую бывает лучше настраивать параметры на коннекторе SMTR который использует виртуальный сервер к качестве моста. В данной главе эти вопросы лишь кратко упоминаются, более подробно SMTP обсуждается в главе 10.
Настройка серверов интерфейса (Front-End) и серверов хранилищ (Back-End)
Развернув конфигурацию интерфейса (front-end) и хранилищ (back-end), вы сможете на одном сервере управлять протоколами межсетевого доступа, а на другом расположить хранилище сообщений. На сервере интерфейса не хранятся почтовые ящики или другая важная информация, поэтому здесь можно организовать более защищенное взаимодействие с Интернетом н с внешними частями больших интранет-сетей. Конфигурация интерфейса и хранилищ предоставляет унифицированное пространство имен и умснь- шает потери производительности при SSL-шифровании.
Виртуальные серверы межсетевых протоколов на серверах интерфейса Exchange Server 2003 обслуживают входящие подключения клиентов, в то время как виртуальные серверы хранилищ предназначены для работы с базами данных. Для обработки запросов серверов интерфейса на каждом сервере хранилищ необходимо создать виртуальный сервер HTTP.
В сетевых топологиях, содержащих серверы интерфейса и серверы хранилищ Exchange Server 2003, реализация настроек аутентификации зависит от ролей серверов. На серверах интерфейса для виртуальных серверов 1МАР4 и POP3 используется базовая ay^ тентификация, причем этот режим не может быть изменен (хотя можно включить шифрование SSL). На POP3- и 1МАР4~серверах хранилищ можно выбрать базовую аутентификацию или аутентификацию, интегрированную с Windows. При использовании на серверах хранилищ базовой аутентификации можно включить шифрование, хотя обычно этого не делают. Для дополнительных виртуальных серверов HTTR расположенных на серверах интерфейса, нельзя использовать аутентификацию, интегрирован^ ную с Windows.
Реализация настроек тайм-аута подключения зависит от ролей сервера. На серэерах хранилищ параметры тайм-аута подключения ограничивают время, в течение которого неактивный клиент остается подключенным к серверу. На серверах интерфейса параметры тайм-аута подключения ограничивают общую продолжительность сеанса работы пользователя, невзирая на его активность. Поэтому на серверах интерфейса данный параметр нужно устанавливать таким образом, чтобы ваши пользователи могли закачать сообщение максимального разрешенного размера с самой низкой поддерживаемой скоростью подключения. Это предотвратит отоючение ваших пользователей во время закачки сообщений.
Подготовка к экзамену В экзаменационных вопросах может встретиться ситуация, когда настройка параметров не приводит к желаемому эффекту. Если в вопросе говорится, что во время закачки пользователем большого объема информации происходит его отключение, связанное с тайм-аутом, то скорее всего нужно проверить настройку на сервере интерфейса, которая задает время простоя (idle time), а не значение общего времени сеанса работы.
Если РОРЗ-клиенты пользуются календарем, то нужно их настроить таким образом, чтобы копии их сообщений оставались на сервере. Если же РОРЗ-кнмент настроен на удаление писем с сервера после их закачки на компьютер клиента, то при попытке выбрать URL во время запроса сведений о собраниях возникнет ошибка 404 протокола НТТЕ которая указывает, что запрос OWA сведений о собраниях недоступен.
Внимание! Если в вашей структуре Exchange Server 2003 используются серверы интерфейса и серверы хранилищ, то нужно настроить URL, по которому пользователи будут получать доступ к календарной информации, на вкладке Calendaring (Календарь) виртуальных серверов POP3 и IMAP4 на вашем сервере хранилищ. Exchange игнорирует настройки URL, которые делаются на вкладке Calendaring (Календарь) серверов хранилищ.
Лабораторная работа. Создание и настройка виртуальных серверов
На этом практическом занятии вы создадите и настроите виртуальные серверы для всех поддерживаемых межсетевых протоколов. Однако перед тем, как заняться этим, вам нужно создать пользователей с почтовыми ящиками; эти пользователи будут ассоциированы с виртуальными серверами.
Упражнение 1. Создание пользователей с почтовыми ящиками
Пользовательскими объектами типа почтовых ящиков управляет консоль Active Directory Users And Computers (Пользователи и компьютеры Active Directory). При установке Exchange System Manager на сервере Windows Server 2003 в стандартную консоль добав* ляется ряд расширений. Это позволяет заводить почтовые яшики Exchange для учетных записей пользователей.
Для клиентов 1МАР4 и POP3 вам нужно завести пользователей с почтовыми ящиками. Также нужны будут учетные записи пользователей, которые смогут отправлять электронную почту другим пользователям (в тестовых целях). Для создания пользователя в AD используется стандартная процедура. Если Exchange System Manager установлен, то для новых пользователей по умолчанию будут заводиться почтовые ящики.
Для создания пользователей с почтовыми ящиками выполните следующие шаги:
L Откройте консоль Active Directory Users And Computers (Пользователи и компьютеры Active Directory).
Щелкните два раза мышью на узле-домене в дереве консоли, щелкните правой кнопкой мыши на папке Users (Пользователи), наведите мышь на пункт New (Новый) и выберите пункт User (Пользователь),
Наберите Don Hall в поле Full Name (Полное нмя) и d,hall в поле User Logon Name (Имя регистрации пользователя). Нажмите Next (Далее).
Сбросьте флажок User Must Change Password At Next Logon (Пользователь должен сменить пароль при следующей регистрации). Установите флажки User Cannot Change Password (Пользователь не может изменять пароль) и Password Never Expires (Срок действия пароле никогда не истекает), В качестве пароля задайте pass/o「d&2. Нажмите Next (Далее).
Убедитесь, что флажок Create An Exchange Mailbox (Создать почтовый ящик Exchange) установлен по умолчанию. Нажмите Next (Далее).
Нажмите Finish (Готово).
С помощью аналогичной процедуры добавьте пользователей из табл. 9-2. Если вы захотите послать или получить почту от имени одного из этих пользователей, воспользуйтесь утилитой л/лш.
Пбл. 9-2. Пользователи с почтовыми ящиками
Full name (Полное имя)
User logon namePassword
(Имя регистрации пользователя)(Пароль)
Kim Akers
k.akerspassword&2
Michelle Alexander
m.alexanderpassword&2
Sean Alexander
s.alexanderpassword&2
Michael Allen
m.allenpassword&2
Nancy Anderson
n.andersonpassword&2
Упражнение 2. Создание виртуального сервера HTTP
В данном упражнении вы создадите дополнительный виртуальный сервер HTTP на сервере ServerOL Как правило, виртуальный сервер HTTP создается на сервере хранилищ для поддержки каждого нз имеющихся серверов интерфейса. Параметры аутентификации и шифрования настраиваются на занятии 3. В этом и последующих упражнениях вы зададите уникальный идентификатор сервера, установите путь Exchange, ограничите число конкурирующих подключений, укажите интервал времени, по истечении ко* торого будет возникать тайм-аут для безуспешных попыток подключения, установите разрешения на чтение, запись и просмотр виртуального каталога, а также установите доступ к сценариям и исполняемым файлам. Также вы включите режим аутентификации, основанный на формах, и настроите параметры сжатия для OWA.
Виртуальный сервер HTTP идентифицируется в сети по уникальной комбинации IP-адреса, имени узла, порта TCP и, если включено шифрование, порта SSL* Для каждого создаваемого вами виртуального сервера нужно будет задать один виртуальный каталог (корневой каталог сервера) для публикации содержимого сервера. Если вы
хотите назначить путь Exchange виртуального сервера на хранилище общих папок, то для этого нужно будет создать обшую папку Соответствующая процедура описана в главе 8 «Обшие папки».
Для создания нового виртуального сервера HTTP выполните следующие шаги:
Запустите Exchange System Manager.
2* Перейдите к Administrative Groups\First Administrative Group\Servers\Server01\ Proiocols\HTTP (Административные группы\Первая административная rpynna'Cep- Bepbi\Server01\ Прото кол ы\ HTTP).
Щелкните правой кнопкой мыши на узле HTTP в дереве, наведите мышь на пункт New (Новый) и выберите пункт HTTP Virtual Sener (Виртуальный сервер HTTP).
На вкладке General (Общие) наберите HTTP^serverl в поле Name (Имя),
Выберите пункт IP-адрес сетевого подключения Local Area Connection 2 в раскрывающемся списке IP Address (IP-адрес).
Для того чтобы назначить уникальный идентификатор, нажмите Advanced (Допол- ннтепьно), после чего нажмите Add (Добавить).
Наберите virtual в поле Host Name (Имя узла), как показано на рис. 9-3, после чего нажмите ОК.
Рис. 9・3・ Назначение уешкильного идентификатора
Нажмите ОК для закрытия диалогового окна Advanced (Дополнительно), после чего нажмите Apply (Применить) на вкладке General (Общие).
Примечание Виртуальные серверы можно различать по 1 Р^адресу, порту TCP, имени узла или по любой комбинации этих трех параметров. Однако, если вы различаете серверы только по имени узла, то нужно создавать дополнительные записи в DNS для направления браузера к нужному виртуальному серверу. Microsoft рекомендует избегать данного метода различения виртуальных серверов.
Для предоставления доступа к общей папке выберите Public Folder (Общая папка) под Exchange Path (Путь Exchange) на вкладке General (Общие).
Нажмите Modify (Изменить), выберите из дерева папку и нажмите ОК.
Для предоставления доступа к домену почтового ящика SMTP и настройки маршрутизации виртуального сервера выберите Mailboxes For (Почтовые ящики для) под Exchange Path (Путь Exchange) на вкладке General (Общие). Если вы хотите предо-
ставить доступ к почтовым ящикам для другого домена SMTP, нажмите Modify (Изменить), выберите домен SMTP и нажмите ОК.
Нажмите ОК для закрытия диалогового окна Properties (Свойства) со свойствами виртуального сервера. Проверьте, запустился ли новый виртуальный сервер HTTP. В случае необходимости запустите его.
Упражнение 3. Настройка виртуального сервера HTTP
В данном упражнении вы настроите дополнительный виртуальный сервер HTTR который был создан вами на предыдущем занятии. Так как этот сервер не является виртуальным сервером HTTP по умолчанию, его можно настраивать с помощью Exchange System Manager. Как уже отмечалось ранее, параметры аутентификации и шифрования будут настраиваться на занятии 3.
Для настройки дополнительного виртуального сервера HTTP выполните следующие шаги:
Запустите Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Servers\ServerO 1\ Protocols'HTTP (Административные группы\Первая административная группа\Сер- Bepbj\ServerO 1 \Протоколы\НТТ Р),
Щелкните правой кнопкой мыши на HTTP_serverl и наж\!ите Pause (Пауза).
Щелкните правой кнопкой мыши на HTTP serverl и нажмите Properties (Свойства).
Для ограничения числа конкурирующих подключений к виртуальному серверу выберите Limit Number Of Connections (Ограничить число подключений) на вкладке General (Общие) и затем введите в текстовое поле нужное количество подключений.
Чтобы указать временной интервал (в секундах), по истечении которого будет возникать тайм-аут для безуспешных попыток подключения, введите нужное число в текстовое поле Time-Out (Secs) (Тайм-аут (в сек)). По умолчанию это число равно 900.
Примечание Когда вы устанавливаете разрешения на доступ к виртуальному каталогу, всем пользователям назначаются эти же разрешения на доступ к папкам или почтовым ящикам, задаваемым этим виртуальным каталогом. Параметры виртуального сервера не перекрывают разрешений на доступ к почтовым ящикам и общим папкам, которые были установлены для учетных записей пользователей.
Для настройки разрешений на чтение, запись и просмотр корневого каталога виртуального сервера перейдите на вклалку Access (Доступ),
С помощью флажков разрешите или запретите всем пользователям читать, записи^ вать или просматривать каталоги (см. рмс. 9=4),
Рис. 9-4. Настройка разрешений на чтение, запись и просмотр
Примечание Данная процедура устанавливает разрешения на доступ к корневому каталогу. Если вы хотите установить разрешения на доступ к дополнительным виртуальным каталогам, разверните виртуальный сервер HTTP в Exchange System Manager, щелкните правой кнопкой мыши на виртуальном каталоге и затем нажмите Properties (Свойства).
Если вы предоставляете доступ к сценариям или разрешаете запуск сценариев, то вы тем самым разрешаете всем подключенным пользователям просматривать исходный код этих сценариев и запускать их. Доступ к сценариям и исполняемым файлам устанавливается на вкладке Access (Доступ) следующим образом:
Для того чтобы разрешить пользователям просматривать исходный код сценариев, нужно установить флажок Script Source Access (Доступ к исходному тексту сценариев) в разделе Access Control (Контроль доступа).
Для установки запрета всем пользователям запускать сценарии, нужно выбрать None (Никто) в разделе Execute Permissions (Разрешения на запуск).
Для того чтобы разрешить пользователям запускать сценарии, но не исполняемые файлы, нужно выбрать Scripts And Executables (Сценарии) в разделе Execute Permissions (Разрешения на запуск).
Для того чтобы разрешить пользователям запускать как сценарии, так и исполняемые файлы, нужно выбрать Scripts (Сценарии) в разделе Execute Permissions (Разрешения на запуск).
Нажмите ОК для закрытия диалогового окна Properties (Свойства) со свойствами виртуального сервера.
L Щелкните правой кнопкой мыши на виртуальном сервере и нажмите Pause (Пауза) для поаторного запуска сервера.
Упражнение 4・ Настройка аутентификации] основанной на формах
Exchange System Manager используется для настройки параметров OWA как на виртуальном сервере HTTP по умолчанию, так и на любом созданном вами дополнительном виртуальном сервере HTTP. Ay те нтификация, основанная 幵 口 формах, обеспечивает дополнительную защит>г для пользователей OWA. При включении аутентификации» основанной на формах, новая страница регистрации для OWA будет сохранять имя пользователя и его пароль не в браузере, а в находящихся в оперативной памяти сеансовых закладках (in-memory session cookie). Данные закладки очищаются после закрытия браузера пользователем. Кроме этого, они очишаются автоматически после определенного периода бездействия. Включив режим аутентификации, основанной на формах» вы сможете использовать сжатие (compression). Режим слабого сжатия (low compression) обеспечивает сжатие только статических файлов; при сильном сжатии (high compression) будут сжиматься как статические, так и динамические файлы.
Для того чтобы включить режимы аутентификации, основанной на формах, и сжатия, нужно выполнить следующие шаги:
L Запустите Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Servers\Server01\ Protocols\HTTP (Административные группы\Первая административная группа\Сер- веры\5егуег01\Протоколы\НТТР).
Щелкните правой кнопкой мыши на виртуальном сервере, который необходимо настроить, и нажмите Pause (Пауза).
Щелкните правой кнопкой мыши на приостановленном виртуальном сервере и нажмите Properties (Свойства).
Перейдите на закладку Settings (Настройка).
Установите флажок Enable Forms Based Authentication (Включить аутентификацию, основанную на формах) на панели Outlook Web Access (Web-доступ для Outlook).
Выбрать уровень сжатия в раскрывающемся меню Compression (Сжатие).
Нажмите ОК для закрытия диалогового окна Properties (Свойства) со свойствами виртуального сервера.
Щелкните правой кнопкой мыши на виртуальном сервере и нажмите Pause (Пауза) для повторного запуска сервера.
Упражнение 5. Создание виртуального сервера POP3
В данном упражнении вы создадите дополнительный виртуальный сервер для поддержки клиентов POP3, а в следующем упражнении настроите этот виртуальный сервер. Для настройки виртуального сервера, используемого по умолчанию, используется та же процедура. По умолчанию при создании нового виртуального сервера POP3 он автома-
тически не запускается, поэтому нет необходимости останавливать данный виртуальный сервер для его настройки. После правильной насфойки виртуальный сервер должен запуститься автоматически. Если нужно изменить конфигурацию на запущенном сервере, то сначала нужно приостановить этот сервер.
Можно создать дополнительные виртуальные серверы на одном компьютере для обслуживания нескольких локальных доменов почты и работы с сообщениями в разных режимах. В данном упражнении вн создадите дополнительный виртуальный сервер на сервере хранилищ ServerO 1.
Для создания виртуального сервера POP3 нужно выполнить следующие шаги:
Запустите Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Servers\Server01\ Protocols\HTTP (Адм и н истрати вныс группы\Первая административная грулпа\Сер- веры\5егУег01\Протоколы\НТТР).
Щелкните правой кнопкой мыши на узле POP3 в дереве, наведите мышь на пункт New (Новый) и выберите пункт POP3 Virtual Server (Виртуальный сервер POP3).
В результате запустится мастер ^ew POP3 Virtual Sender Wizard (Новый виртуальный сервер POP3), Наберите P0P3_server1 в поле Name (Имя) и нажмите Next (Далее).
Выберите IP-адрес сетевого подключения Local Area Connection 2 в раскрывающемся меню Select The IP Address For This Virtual Server (Выбор IP-адреса для данного виртуального сервера).
Нажмите Finish (Готово). В результате будет создан виртуальный сервер (автоматически он не запускается). Теперь можно настраивать этот виртуальный сервер.
Упражнение 6. Настройка виртуального сервера POP3
В данном упражнении вы настроите созданный виртуальный сервер POP3. Параметры аутентификации и шифрования будут настраиваться в занятии 3. Здесь вы настроите параметры подоючения, ограничите доступ по IP-адресу, подсети или домену, задали' те формат сообщений и проверите настройки календаря.
Для настройки нового виртуального сервера POP3 выполните следующие шаги:
Запустите Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Servers\Server01\ Protocols\POP3 (Административные группы\Первая администратианая группа\Сер- веры\5епгег01\Протоколы\РОРЗ).
Нажмите правой кнопкой мыши на POP3_senerl и нажмите Properties (Свойства),
Нажмите Advanced (Дополнительно) на вкладке General (Общие). В случае необходимости вы можете, нажав АМ (Добавить), изменить IP-адрес, порт TCP н порт SSL. В данном пункте делать этого не нужно, поэтому нажмите Cancel (Отмена).
Для предотвращения перегрузки виртуального сервера POP3 вы можете ограничить число подключений. Нажмите Limit Number Of Connections To (Ограничить число подключений) на вкладке General (Общие) и введите целое число от 1 до 1,999,999,999.
Для ограничения времени простоя, в течение которого подключения остаются зарегистрированными на сервере, задайте соответствующее значение в поле Connection Time-Out (Minutes) (Тайм-аут для подключения (мнн»,
Для того чтобы выборочно разрешить или запретить доступ к виртуальному серверу POP3 одиночным компьютерам, подсетям и доменам, перейдите на вкладку Access (Доступ) и нажмите Connection (Подключение).
Для того чтобы разрешить доступ к виртуальному серверу только определенным компьютерам, группам компьютеров или доменам, выберите Only The List Below (Только нижеприведенный список) и нажмите Add (Добавить). После этого вы можете указать один из следующих вариантов:
статический адрес одиночного компьютера;
адрес подсети и маска, задающие группу компьютеров, IP-адреса которых фор- мир^ют непрерывный диапазон;
口 полное имя домена.
Примечание Если вы хотите попрактиковаться в использовании адресов сетей и масок подсетей для задания диапазонов IP-адресов, то в Интернете можно найти много отличных руководств по данной теме (например, на сайте htip://learnfosubnel. com).
Нажмите OK для возврата в диалоговое окно Connection (Подключение).
Для того чтобы запретить доступ к виртуальному серверу определенным компьютерам, группам компьютеров или доменам, выберите All Except The List Below (Все, кроме нижеприведенного списка) л нажмите Add (Добавить). Здесь вы вновь можете указать один 1Р-адресФ подсеть (см. рис. 9-5) или домен.
IComputer
Add one d the foBowing to the |就
C ^ingb computer
'.I，一a ,. ■叱£ Ltfokup.,.
佇 group of computer*
Sybnct address:S ubnet ma?k
工~10 129J 255 255.255 fiaf
广 Romain
QK I Cancel |H 風P
Рис. 9-5. Задание подсети
И, Нажмите ОК для возврата в диалоговое окно Connection (Подключение).
】2. Нажмите ОК для закрытия диалогового окна Connection (Подключение).
Для указания форматов сообщений, поддерживаемых вашими РОРЗ-клиентами, перейдите на вкладку Message Format (Формат сообЕцений).
Если клиенты поддерживают кодирование MIME, то выберите MIME. Здесь вы можете указать один из следующих вариантов:
Use RTF (Использовать RTF) Данный режим включается после установки флажка Use Exchange Rich-Text Format (Использовать формат Exchange Rich-Text). Эта установка отключает все другие флажки (формат RTF можно задать и в том случае, когда ваши клиенты используют uuencodc.)
Provide Message Body As Plain Text (Представлять тело сообщений в формате простого текста).
口 Provide Message Body As HTML (Представлять тело сообщений н формате HTML).
Both (Оба варианта).
Если ваши клиенты поддерживают формат uuencode, выберите UUEncode; если вы поддерживаете клиентов Macintosh, выберите Use Binhex For Macintosh (Использовать Binhex для Macintosh).
Если для одной кодовой страницы имеется несколько наборов символов, то Exchange использует символы, указанные на вкладке Message Format (Формат сообщений). Набор символов устанавливается в раскрывающемся меню Character Set (Кодировка).
Для настройки сервера OWA, к которому обращаются РОРЗ-клиенты при загрузке сведений о собраниях, используется вкладка Calendaring (Календарь). По умолчанию здесь указывается сервер хранилищ Exchange. В случае необходимости можно задать сервер интерфейса.
Нажмите ОК для закрытия диалогового окна Properties (Свойства) со свойствами виртуального сервера.
Упражнение 7. Создание и настройка виртуального сервера IMAP4
Процедура здесь практически идентична процедуре создания и настройки виртуально^ го сервера POP3, Имеются три различия:
На вкладке General (Общие) можно включить режим быстрого извлечения сообщений.
На вкладке General (Общие) можно указать, следует ли включать все общие папки в список при получении соответствующего запроса на его построение,
На вкладке Message Format (Формат сообщений) нельзя задать формат uuencode (а, следовательно, и BinHex for Macintosh).
В данном упражнении вы создадите виртуальный сервер IMAP4 и включите режим быстрого извлечения сообщений. Если вы хотите произвести дополнительную настройку, то обратитесь к инструкциям по виртуальному серверу POP3,
Подготовка к экзамену Будьте осторожны с ответами на экзаменационные вопросы, где администратор включает режим быстрого извлечения сообщений для РОРЗ-клиен- тов или задает формат uuencode для IMAP4-клиентов. Такие ответы можно сразу отбрасывать как неправильные.
Для создания и настройки виртуального сервера ТМАР4 выполните следующие шаги:
L Запустите Exchange System Manager.
Перейдите к Administrative Groiips\First Administrative Group\Servers\ServerO 1\ Protocols\lMAP4 (Административные группы\Первая административная группа\Сер- веры\5егУсг01\Протоколы\1МАР4).
Шелкните правой кнопкой мыши на узле 1МАР4 в дереве, наведите мышь на пункт New (Новый) и выберите пункт IMAP4 Virlual Server (Виртуальный сервер IMAP4).
В результате запустится мастер New IMAP4 Virtual Server Wizard (Новый виртуальный сервер IMAP4). Наберите !MAP4_serverl в поле Name (Имя) и нажмите Next (Далее).
Выберите пункт JP-адрес сетевого подключения Local Area Connection 2 в раскрывающемся меню Select The IP Address For This Virtual Server (Выбор IP-адреса для данного виртуального сервера，
Нажмите Finish (Готово). В результате будет создан виртуальный сервер (автоматически он не запускается).
Щелкните правой кнопкой мыши на виртуальном сервере IMAP4 и выберите в контекстном меню пункт Properties (Свойства).
Установите Enable fast Message Retrieval (Разрешить быстрое извлечение сообщений) на вкладке General (Общие).
Нажмите ОК для закрытия диалогового окна Properties (Свойства) со свойствами виртуального сервера.
Упражнение 8. Создание виртуального сервера NNTP
В данном упражнении вы создадите дополнительный виртуальный сервер NNTP Вам будет нужно создать папки для хранения групп новостей и файлов NNTP (сделать это можно либо до запуска виртуального сервера, либо во время его создания). После создания нового виртуального сервера можно добавить новые группы новостей, источники новостей, политики устарсаания и виртуальные каталоги. Эти процедуры можно выполнить с помощью мастеров, предоставляемых Exchange System Manager. В этом и следующих упражнениях будут рассматриваться только создание и настройка виртуального сервера. Аутентификаиия и шифрование будут освещены на занятии 3.
Можно создать дополнительные виртуальные серверы NNTP для обслуживание нескольких доменов с одного сервера и для развертывания отдельно внешних и внутренних серверов новостей. Каждый виртуальный сервер должен иметь уникальную комбинацию IP-адреса и TCP-порта* Microsoft рекомендует назначать разные IP-адреса и использовать стандартный для NNTP порт TCP, 119.
Примечание При создании виртуального сервера NNTP нужно указать пути к двум каталогам: путь к внутренним файлам и путь к файлам групп новостей. В данном упражнении оба этих каталога находятся на одном разделе. В реальной системе лучше расположить их на разных разделах диска (это снижает вероятность повреждения файлов в случае нехватки дискового пространства).
Для создания виртуального сервера NNTP нужно выполнить следующие шаги:
Запустите Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Servcrs\ServerO l\Protocols\ NNTP (Административные группы\Первая административная группа\Серверы\ Serve гОДПрото кол bi\NNTP).
Шелкните правой кнопкой мыши на узле NNTP в дерев% наведите мышь на пункт New (Новый) и выберите пункт NNTP Virtual Server (Виртуальный сервер NNTP).
В результате запустится мастер New NNTP Virtual Server Wizard (Новый виртуальный сервер NNTP). Наберите KNTP_server1 в поле Name (Имя) и нажмите Next (Далее).
Выберите IP-адрес сетевого подключения Local Area Connection 2, введите ТСР-порт 119 н нажмите Next (Далее).
В качестве пути к внутренним файлам сервера введите С:\NNTP_files'фlegroup. Если мастер предложит создать данную папку, то нажмите ОК Нажмите Next (Далее).
В качестве устройства, на котором размещено ваше хранилище, выберите File System (Файловая система) (также на этом шаге вы можете задать общедоступную папку на удаленном компьютере). Нажмите Next (Далее).
Укажите тип файловой системы для вашего хранилища. Нажмите Next (Далее).
В качестве пути к хранилищу содержимого новостей введите С:\NNTP_news\ne^sgroup. Если мастер предложит создать данную папку, то нажмите ОК. Нажмите Finish (Готово).
Новый виртуальный сервер NNTP создан. В отличие от виртуальных серверов IMAP4 и POP3, новый виртуальный сервер NNTP запускается после создания автоматически.
Упражнение 9. Настройка виртуального сервера NNTP
Для настройки нового виртуального сервера NNTP выполните следующие шаги:
Запустите Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Servers\Server01\ Protocols\NNTP (Административные группы\Первая административная группа\Сер- вepы\Seгver01\Пpoтoкoлы\NNTP).
Щелкните правой кнопкой мыши на IVNTP_serverl и выберите пункт Pause (Пауза) в контекстном меню.
Шелкните правой кнопкой мыши на NNTP_serverl и выберите пункт Properties (Свойства) в контекстном меню.
Нажмите кнопку Advanced (Дополнительно) на вкладке General (Общие). Здесь с помощью кнопки Add (Добавить) можно изменять значения 1Р-адреса, порта TCP
и порта SSL. В данном упражнении делать этого не нужно, поэтому нажмите Cancel (Отмена).
Для предотврашения перегрузки виртуального сервера NNTP вы можете ограничить число подключений. Выберите Limit Number Of Connections lb (Ограничить число подключений) на вкладке General (Общие) и введите целое число от 1 до 1,999,999,999.
Для ограничения времени простояt в течение которого подключения остаются зарегистрированными на сервере, задайте соответствующее значение в поле Connection Time-Out (Minutes) (Тайм-аут для подключения (мин)).
Для того чтобы выборочно разрешить или запретить доступ к виртуальному серверу NNTP одиночным компьютерам, подсетям или доменам, перейдите на вкладку Access (Доступ) н нажмите Connection (Подключение),
Для того чтобы разрешить доступ к виртуальному серверу только определенным компьютерам, группам компьютеров или доменам, выберите Only The List Below (Только нижеприведенный список) и нажмите Add (Добавить). После этого вы можете указать один из следующих вариантов:
статический адрес одиночного компьютера;
адрес подсети и маска, задающие группу компьютеров IP-адреса которых формируют непрерывный диапазон;
полное имя домена.
Нажмите ОК для возврата в диалоговое окно Connection (Подключение).
Для того чтобы запретить доступ к виртуальному серверу определенным компьютерам, группам компьютеров или доменам, выберите All Except The List Below (Все, кроме нижеприведенного списка) м нажмите Add (Добавить). Здесь вы вновь можете указать один IP-адрес, подсеть (см. рис. 9-5) или домен.
Нажмите ОК для возврата в диалоговое окно Connection (Подключение).
Нажмите ОК для закрытия диалогового окна Connection (Подключение).
Для того чтобы ограничить размер отдельных статей, которые может послать пользователь, или общий размер статей, которые пользователь может отослать за время одного сеанса работы, нажмите кнопку Settings (Параметры).
Проверьте, что установлен флажок Allow Client Posting (Разрешить пользователям отправлять статьи),
Для ограничения размера отдельной статьи, которую может послать пользователь, нажмите Limit Post Size (КВ) (Ограничить размер посылки) и выберите нужное значение.
Для ограничения объема информации, которую пользователь может отослать в телеконференцию за один сеанс подключения, нажмите Limit Connection Size (MB) (Ограничить размер подключения) и выберите нужное значение.
Проверьте, что установлен флажок Allow Feed Posting (Разрешить отсылку сообщений в источник новостей).
Для ограничения размера отдел ьной статьи, которую пользователь может послать в источник новостей, нажмите Limit Post Size (КВ) (Ограничить размер посылки) и выберите нужное значение.
Для ограничения объема информации, которую пользователь может отослать в источник новостей за один сеанс подключения, нажмите Limil Connection Size (MB) (Ограничить размер подключения) и выберите нужное значение.
2L Дополнительно вы можете разрешить другим серверам скачивать новые статьи с данного сервера, включить или отключить контроль сообщений, а также указать сервер SMTP для модерируемых групп, задать домен модератора по умолчанию и учетную запись электронной почты администратора. Вкладка Settings (Параметры) показана на рис. 9-6.
Рис. 96 Параметры виртуального сервера NNTP
Упражнение 10. Создание виртуального сервера SMTP
Детально настройка SMTP описывается в главе 10. В данной главе вы создадите виртуальный сервер SMTP и настроите некоторые его параметры. Для выполнения практических заданий в главе 10 вам понадобится дополнительный виртуальный сервер SMTP.
Для создания дополнительного виртуального сервера SMTP нужно выполнить следующие шаги:
Запустите Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Servers\Server01\ Prolocols'SMTP (Административные группы\Первая адмш 1 истративная группа\ CepBepbi\ServerO 1\П ротокол h\SMTP).
Щелкните правой кнопкой мыши на узле SMTP в дереве, наведите мышь на пункт New (Новый) и выберите пункт SMTP Virtual Server (Виртуальный сервер NNTP).
В результате запустится мастер №w SMTP Virtual Server Wizard (Новый виртуальный сервер SMTP). Наберите SMTP_serverl в поле Name (Имя) и нажмите Next (Далее).
Выберите IP-адрес сетевого подключения Local Area Connection 2 в раскрывающемся списке Select The IP Address For This Virtual Server (Выбор IP-адреса для данного виртуального сервера).
Нажмите Finish (Готово). В результате будет создан новый виртуальный сервер (автоматически он не запускается).
Упражнение 11. Настройка виртуального сервера SMTP
Для настройки нового виртуального сервера SMTP выполните следующие шаги:
Запустите Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Servcrs\Scrver01\ Protocols\SMTP (Административные группы\Первая административная rpynna'Cep- веры\8егуег01\Протоколы\8МТР).
Щелкните правой кнопкой мыши на SMTP_serverl и выберите пункт Properties (Свойства) в контекстном меню.
Нажмите кнопку Advanced (Дополнительно) на вкладке Generat (Общие). В диалоговом окне Advanced (До по лни тс льно) можно изменять значения IP-адреса, порта TCP и добавлять фильтр, В данном упражнении делать этого не нужно, поэтому нажмите Cancel (Отмена).
Для предотвращения перегрузки виртуального сервера SMTP вы можете ограничить число подключений. Нажмите Limit Number Of Connections To (Ограничить число подключений) на вкладке General (Общие) и введите целое число от 1 до 1.999,999,999,
Для ограничения времени простоя, в течение которого подключения остаются зарегистрированными на сервере, задайте соответствующее значение в поле Connection Time-Out (Minutes) (Тайм-аут для подк.1ючения (мин)).
Для того чтобы выборочно разрешить или запретить доступ к виртуальному серверу SMTP одиночным компьютерам, подсетям или доменам, перейдите на вкладку Access (Доступ) и нажмите Connection (Подключение^
Для того чтобы разрешить доступ к виртуальному серверу только определенным компьютерам, группам компьютеров или доменам, выберите Only The List Below (Только нижеприведенный список) и нажмите Add (Добавить). После этого вы можете указать один из следующих вариантов:
口 статический адрес одиночного компьютера;
□ адрес подсети и маска, задающие группу компьютеров, IP-анрсса которых формируют непрерывный диапазон;
а полное имя домена.
9* Нажмите ОК для возврата в диалоговое окно Connection (Подключение).
Для того чтобы запретить доступ к виртуальному серверу определенным компьютерам, группам компьютеров или доменам, выберите AJ1 Except The List Below (Все, кроме нижепри веден ного списка) и нажмите Add (Добавить). Здесь вы вновь можете указать один IP-адрес, подсеть (см. рис, 9-5) или домен.
Нажмите ОК для возврата в диалоговое окно Connection (Подключение).
12* Нажмите ОК для закрытия диалогового окна Connection (Подключение).
13. Выберите вклгщки Messages (Сообщения) и Delivery (Доставка), показанные на рис. 9-7 и 9-8 соответственно. Значение параметров на этих вкладках вполне очевидно. Дальнейшая настройка описана в главе 10.
pMIP^serverl Properties
山1
Specily Ihe ГЫЬилпд messaging Information- F L^ ffiessege aze to (KBt
40%
g 廿成1整® 匾互15 髄口
口 1щ)Й number of mtRsagox per connectran ta;
|10240
[20~
伊 Lirrtit number of ：eci₽fer*3 per mmag© Io:
(64000
Send copy of 耳口词丽缈 Report loi |postmaster@failipriic5»s.ccini fiadni,afl cbectw
jcXPiogram Ffe#S£«chsrvr\Msilroot\vsi 2\BadMail
Queue direc妬у
(CAProgram Frtes'ExqhsrvAMabW'v” 2\Queue
Eorward ell mail w姉 u?v0s^ved teapenta »o hat»:
JtecveQZ
Cancel JRp|却|H國p
Рис. 9-7. Настройки сообщений виртуального сервера SMTP
|SMTP」erve“ Properties
Genetai I Access | Messages Delivery
k-TF-F-F-F"k-TF-F-F-F"
k-TF-F-F-F"
k-TF-F-F-F"
first retry interval (пйгме妙
Second retry interval (mnuteil
1r匕用 闺税ineerval [m斫й髓上
Subsequent retry irteval [崎川輔)
Qelay гюЫеаЙат
Exhalation HttkouI
DelW flotification：
E^pifation timeout:
[函施血势竺5崛1|Outbound ficmechorii!- , I Advanced... I
OK I Cancel I
Рис. 9-8. Настройки доставки виртуальною сервера SMTP
14. Нажмите ОК для закрытия диалогового окна Properties (Свойства) со свойствами виртуального сервера.
Занятие 3. Настройка аутентификации
На данном занятии речь пойдет о методах аутентификации, которые можно настраивать на виртуальных серверах межсетевых протоколов, и шифровании, основанном на сертификатах. Также будет кратко рассказано о настройке клиентов (более подробно данный вопрос обсуждается в главе 10).
Изучив материал данного занятия, вы сможете:
， получать, устанавливать и назначать сертафикаты для включения SSL-шифрования на виртуальных серверах HTTP, NNTP, IMAP4, POP3,
и TLS-шифрования на виртуальных серверах SMTP;
/ перечислить методы шифрования, доступные на всех поддерживаемых виртуальных серверах межсетевых протоколов (как на серверах хранилищ, так и на серверах интерфейса Exchange);
/ различать между собой различные методы аутентификации;
，настраивать нужный уровень аутентификации на виртуальных серверах.
Продолжительность занятия — около 45 минут.
Настройка методов аутентификации на виртуальном сервере
Процедура аутентификации подтверждает, что пользователь на самом деле является тем, за кого он себя выдает. Более мощные методы аутентификации (например, Kerberos) дополнительно обеспечивают аутентификацию сервера электронной почты. Шифрование гарантирует, что сообщение сможет прочитать только тот получатель, которому оно адресовано.
Аутентификация
Exchange поддерживает три метода аутентификации пользователей: анонимная аутен- тификаиии, базовая аутентификация и аутентификация, интегрированная с Windows*
Анонимная аутентификация
Это наиболее распространенный метод для Интернет-подключений, обеспечивающий ограниченный “оступ к определенным общим папкам и информации каталогов. Анонимная аутентификация поддерживается всеми клиентами и используется для разрешения доступа пользователей к незащищенному содержимому общих папок.
Базовая аутентификация
Exchange выполняет простую аутентификацию типа «запрос/ответ», требуя, чтобы пользователи для доступа к хранящимся в почтовых яшиках данных вводили свое имя,
имя домена и пароль. Базовую аутентификацию поддерживает большинство клиентских компьютеров. Данный метод обеспечивает самый низкий уровень безопасности.
Внимание! Во время базовой аутентификации имя пользователя и его пароль передаются в открытом текстовом виде, что небезопасно. Базовая аутентификация должна применяться только в тех случаях, когда нет других альтернатив или когда шифруется весь сеанс работы TCP/IP.
Аутентификация, интегрированная с Windows
Данный метод обеспечивает безопасность и прозрачность для пользователя. Аутентификацию, интегрированную с Windows, можно использовать для работающих на платформе Windows клиентов, не пользующихся шифрованием. При этом длх сетей Windows 2000 Server и выше используется протокол Kerberos, а для сетей» где не развернута служба каталогов AD, используется механизм аутентификации Windows NT LAN Manager. Во время аутентификации, интегрированной с Windows, пароль передается в зашифрованном виде.
Шифрование
При шифровании содержимое электронного сообщения преобразуется в код, который может прочитать только человек, на компьютере которого имеется ключ для расшифровки. Аутентификация не шифрует данные в сообщении. Поэтому для настояшей защиты данных вам нужно шифровать сообщения электронной почты, передаваемые между клиентом и сервером. Так как TLS н SSL шифрует целиком все данные, передаваемые в сеансе работы между клиентом и сервером по протоколу TCP/1R то такой сеанс будет защищен даже н том случае, если вы выберете один из методов аутентификации при регистрации (например, базовую аутентификацию), при которой не происходит шифрования имени пользователя и пароля.
Виртуальные серверы HTTR POP3, IMAP4 и NNTP могут использовать шифрование SSL. Виртуальные серверы SMTP используют схему шифрации TLS, разработанную на основе SSL. Для выполнения шифрования виртуальный сервер должен иметь сертификат, выпущенный доверяемым центром сертификации.
Подготовка к экзамену Помните, что шифрование изменяет содержимое сообщений. Это не метод аутентификации, при шифровании и расшифровке не происходит аутентификации пользователей. Также следует помнить, что шифрование можно задать на виртуальном сервере только в том случае, когда используется базовая аутентификация. Наконец, запомните, что шифрование может быть реализовано только в случае получения соответствующего сертификата. С помощью некоторых диалоговых окон можно проверить настройки шифрования до получения сертификата, однако эти настройки не будут иметь эффекта до тех пор, пока сертификат не будет установлен.
Другие методы аутентификации
Некоторые клиенты POP3 и IMAP4 применяют аутентификацию SASL (Simple Authentication and Security Layer). Данный метод а>тентификации использует Kerberos или NTLM для аутентификации узлов. Аутентификацию SASL можно задать на виртуальных серверах POP3 и IMAP4, расположенных на серверах хранилищ Exchange Server 2003.
На виртуальных серверах ННТР можно задать дайджест - аутен w ификацию (digest authentication). Данный метод аутентифицирует не пользователей, а серверы доменов Windows. Настроив соответствующим образом виртуальный сервер Exchange (виртуаль^ ный сервер HTTP по умолчанию), можно задать на нем аутентификацию Microsoft .NET Passport.
Поддерживаемые методы аутентификации
Доступные методы аутентификации могут меняться в зависимости от типа виртуально* го сервера н конфигурации сервера Exchange (сервер хранилищ или сервер интерфейса). Детали приведены в табл, 9-3.
Табл. 9-3. Поддерживаемые методы аутентификации
Протокол виртуального сервера
Конфигурация сервера Exchange
Поддерживаемые методы аугеитификации
POP3 и 1МАР4
Сервер хранилищ
Базовая
SASL
HTTP
Сервер хранилищ
Анонимная
Базовая
Дайджест
Интегрированная с Windows
.NET Passport (только для виртуального сервера Exchange)
NNTP н SMTP
Сервер хранилищ и сервер интерфейса
Анонимная
Базовая
Интегрирован ная с Windows
POP3 и IMAP4
Сервер интерфейса
Базовая (изменить нельзя)
HTTP
Сервер интерфейса
Анонимная
Базовая
Дайджест
•NET Passport (только для виртуального сервера Exchange)
Интегрированная с Windows (только для виртуального сервера Exchange)
Шифрование можно настроить на виртуальных серверах, расположенных как на серверах хранилищ, так и на серверах интерфейса Exchange. Как правило, шифрование включается на серверах интерфейса, которые подключены к Интернету. Шифрование TLS может использоваться на виртуальных серверах SMTP, а шифрование SSL — на всех других видах виртуальных серверов. Оба типа шифрования требуют наличия сертификата.
Настройка доступа клиентов к протоколам виртуальных серверов
Exchange Server 2003 поддерживает протоколы HTTP и WebDAV для обеспечения расширенной функциональности при обслуживании HTTP-клиентов, извлекающих информацию из систем wcb-хранилищ н манипулирующих этой информацией. Также можно настроить виртуальный сервер HTTP на поддержку OWA, чтобы пользователи с помощью web-браузера могли получать доступ к электронной почте, расписаниям, общедоступным приложениям и к любой части общего информационного хранилища.
Клиенты IMAP4 могут работать с письмами в почтовом ящике Exchange без закачки всего содержимого почтового ящика на свой компьютер. Exchange с помощью NNTP обеспечивает пользователям Outlook возможность принимать участие в сетевых телеконференциях по Интернету. Также Exchange позволяет пользователям, которые используют поддерживающие NNTP приложения, обращаться к общим папкам групп новостей на компьютерах Exchange.
Exchange обеспечивает РОРЗ-клиентам доступ к их папкам входящей почты на Exchange. При этом, однако, POP3-клиенты не могут работать с другими общими или личными папками. Протокол POP3 нс предназначен для выполнения полного спектра операций над письмом на сервере. Хотя сообщения можно оставлять на сервере, обычно письма загружаются на клиентский компьютер и после этого удаляются.
Для настройки клиентов POP3 и 1МАР4 вам нужно создать пользователя с почтовым ящиком, указать данные учетной записи на клиенте и установить нужные параметры. Данные процедуры детально описаны в главе 10.
Лабораторная работа. Получение, установка и назначение сертификата для виртуального сервера 1МАР4 на сервере интерфейса Exchange
Данная процедура используется для получения, назначения и установки сертификата шифрования на виртуальном сервере IMAP4 по умолчанию на сервере интерфейса Exchange, Server02. Аналогичную процедуру можно применять для получения, установки и назначения сертификата на следующих виртуальных серверах:
виртуальный сервер 1МАР4 на сервере хранилищ Exchange;
виртуальный сервер POP3 на сервере интерфейса или сервере хранилищ Exchange;
виртуальный сервер NNTP на сервере интерфейса или сервере хранилищ Exchange;
виртуальный сервер SMTP на сервере интерфейса или сервере хранилищ Exchange.
Для получения, установки и назначения сертификата на виртуальном сервере HTTP на сервере интерфейса или сервере хранилищ Exchange вам нужно запустить мастер Web Server Certificate Wizard (Сертификаты для web-сервера); это делается с помощью консоли HS Manager, а не Exchange System Manager.
Если вы еще не запустили на сервере Serveг02 службу Exchange IMAP4, то сделайте это (соответствующая процедура описана в занятии I). Далее предполагается, что паннах служба и виртуальный сервер по умолчанию уже запушены.
Для получения, установки и назначения сертификата нужно выполнить следующие шаги:
Запустите Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Servers\Server02\ Protocols\IMAP4 (/Административные группы\Перная административна группа\Сер- веры\5егуег02\Протоколы\(МАР4).
Щелкните правой кнопкой мыши на Default IMAP4 Virtual Server и выберите пункт Pause (Пауза) в контекстном меню.
Щелкните правой кнопкой мыши на Default IMAP4 Virtual Server и выберите пункт Properties (Свойства) в контекстном меню.
Нажмите Certificate (Сертификат) на вкладке Access (Доступ).
Новый сертификат запрашивается с помощью мастера Web Server Certificate Wizard (Сертификаты для web-сервера). Здесь нужно выбрать пункт Create A New Certificate (Создать новый сертификат). Так как в вашем домене имеется центр сертификации, то вы сразу получите сертификат.
Нажмите Apply (Применить) для сохранения параметров.
Для установки сертификата снова нажмите Certificate (Сертификат).
Снова запустите мастер Web Server Certificate Wizard (Сертификаты для web-сервера). На этот раз нужно выбрать пункт Assign An Existing Certificate (Назначить имеющийся сертификат).
Для назначения сертификата и установки требования защищенного канала нажмите Communication (Связь) на вкладке Access (Доступ).
Нажмите Require Secure Channel (Требовать защищенный канал).
Если компьютер, на котором расположен виртуальный сервер IMAP4, поддерживает 128-битное шифрование, то нажмите Require 128-bil Encryption (Требовать 128-битное шифрование),
Нажмите ОК для закрытия диалогового окна Properties (Свойства) со свойствами виртуального сервера.
Запустите виртуальный сервер.
Примечание Не нужно получать сертификат каждый раз, когда вы хотите разрешить шифрование на определенном виртуальном сервере. Если у вас получили сертификат для одного виртуального сервера на вашем сервере Exchange, то с помощью мастера Web Server Certificate Wizard можно назначить его другим виртуальным серверам.
Лабораторная работа. Настройка аутентификации
Данная процедура одинакова для всех виртуальных серверов, за исключением параметров, которые должны быть установлены. Для виртуального сервера HTTP, используемого по умолчанию, параметры настраиваются в диалоговом окне Exchange Properties (Свойства Exchange) на листе Authentication (Аутентификация) вкладки Directory Security (Безопасность каталога); данное диалоговое окно вызывается из консоли IIS Manager однако в остальном процедура идентична.
Упражнение 1. Настройка аутентификации на виртуальных серверах, расположенных на сервере хранилищ Exchange
Для настройки аутентификации выполните следующие шаги:
Запустите Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Servers\ServerOl\Protocols (Административные группы\Первая административная группа\Серверы\5егуегО 1\ Протоколы).
Раскройте узлы HTTP, NTTP, POP3, IMAP4 и SMTP.
Щелкните правой кнопкой мыши на любом виртуальном сервере, кроме виртуального сервера Exchange (виртуальный сервер HTTP по умолчанию), и выберите пункт Pause (Пауза) в контекстном меню.
Щелкните правой кнопкой мыши на остановленном сервере и выберите пункт Properties (Свойства) в контекстном меню.
Нажмите Authentication (Аутентификация) на вкладке Access (Доступ).
Настройте параметры аутентификации. На рис. 9-9 — 9-12 показаны доступные параметры.
Рис. 9-9. Параметры аутентификации для дополнительного виртуального сервера HTTP на сервере хранилищ Exchange
Рис, 9-10. Параметры аутентификации для виртуальных серверов POP3 и IMAP4 на сервере хранилищ Exchange
Рис* 9-1L Параметры аутентификации для виртуального сервера NNTP
Рис. 9-12* Параметры аутентификации для виртуального сервера SMTP
Нажмите ОК для закрытия диалогового окна Properties (Свойства) со свойствами виртуального сервера.
Запустите виртуальный сервер.
Упражнение 2. Настройка аутентификации на виртуальном сервере HTTP, расположенном на сервере интерфейса Exchange
В данном упражнении будет описано, каким образом следует использовать консоль //5 Manager для настройки параметров аутентификации на виртуальном сервере HTTP по умолчанию. Данная процедура также иллюстрирует разницу между виртуальными серверами HTTP на серверах хранилищ и на серверах интерфейса Exchange.
\. Откройте на сервере Servcr02 консоль //5 Manager.
Перейдите к Internet Information Services\ServerO2\W:b Sitcs\Dcfauk Wsb Site\ Exchange.
Щелкните правой кнопкой мыши на Default Web Site и выберите пункт Pause (Пауза) в контекстном меню*
Щелкните правой кнопкой мыши на Exchange и выберите пункт Properties (Свойства) в контекстном меню.
Нажмите Edil (Редактировать) в разделе Authentication And Access Control (Контроль аутентификации н доступа) на вкладке Directory Security (Безопасности каталога).
Настройте нужные параметры. Как видно из рис. 9-13, и на серверах хранилищ, и на серверах интерфейса Exchange доступны а уте нтиф икация, интегрированная с Windows, и аутентификация .NET Passport.
Рис. 9-13. Параметры аутентификации для виртуального сервера Exchange на сервере и»ггерфейса или сервере хранилищ Exchange
Однако на дополнительном сервере HTTR который расположен на сервере интерфейса Exchange, данные параметры будут недоступны. Настройки, доступные в данном случае, показаны на рис. 9-14.
Рис. 9-14, Параметры а}гте1ггификации для дополнительного виртуального сервера HTTP на сервере интерфейса Exchange
Нажмите ОК для закрытия диалогового окна Authentication (Аутентнфнкакня),
Нажмите ОК для закрытия диалогового окна Exchange Properties (Свойства Exchange).
Запустите web-сайт по умолчанию*
Упражнение 3. Проверка параметров аутентификации на виртуальном сервере POP3, расположенном на сервере интерфейса Exchange
Целью данного упражнения является проверка диалогового окна Authentication (Аутентификация) для виртуального сервера POP3, находящегося на сервере интерфейса Exchange. Диалоговое окно Authentication (Аутеп^ификация) для виртуального сервера IMAP4, находящегося на сервере интерфейса Exchange, выглядит точно так же.
Для проверки параметров аутентификации нужно выполнить следующие шаги:
Запустите Exchange System Manager.
Перейдите к Adminisiralive Groups'First Administrative Group\Servers\Server01\ Protocols\POP3 (Административные группы\Первая административная группа\Сер- веры\5егуег01\Протоколы\РОРЗ).
Шелкните правой кнопкой мыши на Default POP3 Virtual Server и выберите пункт Properties (Свойства) в контекстном меню.
Нажмите Authentication (Аутентификация) на вкладке Access (Доступ).
5， Диалоговое окно Authentication (Аутентификация) показано на рис, 9-15. Отметим, что на сервере интерфейса включен режим базовой аутентификации, причем его нельзя изменить. Здесь можно только включить шифрование.
Рис. 9-15. Диалоговое окно Authentication для виртуального сервера POP3 на сервере интерфейса Exchange
Нажмите ОК для закрытия диалогового окна со свойствами виртуального сервера.
Занятие 4. Обслуживание виртуальных серверов
На данном занятии описываются процедуры для просмотра списка подключенных к виртуальному серверу пользователей и для отключения этих пользователей. Также здесь рассматриваются вопросы, связанные с протоколированием выполняемых действий для дальнейшей диагностики проблем. Детально устранение неполадок обсуждается в главе 14 «Устранение проблем с Microsoft Exchange Server 2003». Кроме этого в главе 13 ^Мониторинг Microsoft Exchange Server 2003» более подробно рассмотрено диагностическое протоколирование.
Изучив материал данного занятия, вы сможете:
/ запускать, останавливать, приостанавливать н запускать заново виртуальный сервер;
просматривать список всех пользователей, подключенных к виртуальному серверу;
отключать одного или всех пользователей;
устанавливать уровень диагностического протоколирования;
просматривать события, сгенерированные при диагностическом протоколировании.
Продолжительность занятия - около 30 минут.
Состояние виртуального сервера
Вы можете остановить, запустить, приостановить и заново запустить виртуальный сервер, щелкнув правой кнопкой мыши на соответствующем сервере на панели консоли Exchange System Manager н выбрав нужную команду в контекстном меню. Если виртуальный сервер приостановлен, то для его повторного запуска нужно снова нажать Pause (Пауза). Если все пункты контекстного меню недоступны, то это означает, что сервер отключен. Такая ситуация возникает, например» если виртуальный сервер POP3 был только что создан н еще не настроен. Если виртуальный сервер не удается запустить, то это может быть связано с тем, что не запущена нужная служба протокола или серверу не назначена уникальная комбинация TCP-порта и IP-адреса.
Состояние виртуального сервера можно проверить с помощью панели консоли в Exchange System Manager. Если виртуальный сервер запущен, то его папка в дереве консоли отображается в виде открытого почтового ящика. Если виртуальный сервер остановлен, то его значок отображается в виде красного круга с белой буквой X внутри. Если виртуальный сервер приостановлен, то его значок отображается в виде белого круга с двумя черными полосками внутри. Если сервер отключен, то внутри белого круга нет никаких символов.
Просмотр подключенных пользователей и их отключение
Если вы приостанавливаете виртуальный сервер, то отключения активных пользователей не происходит, хотя новые пользователи уже не смогут подключиться к серверу до тех порт пока вы не запустите заново сервер. Если остановить виртуальный сервер, то все пользователи бунут отключены. Перед остановкой или приостановкой виртуального сервера, а также перед любым изменением его настроек, нужно проверить список подключенных пользователей. Лучше сначала приостановить сервер и дождаться, когда пользователи завершат свои сеансы работы, или послать подключенным пользователям сообщения о том, что они будут отключены через определенный промежуток времени.
Диагностическое протоколирование
С помощью диагностического протоколирования можно сохранять информацию о важных событиях, связанных с аутентификацией, подключениями и действиями клиентов. События, возникающие во время диагностического протоколированияf записываются в журнал событий Windows Server 2003 на сервере Exchange, обслуживающем виртуальный сервер. Можно установить уровень протоколирования на обслуживающем сервере (не на виртуальном сервере протокола). По умолчанию используется нулевой уровень протоколирования (None), При этом уровне протоколирования будут записываться только события, связанные с ошибками и критическими операциями.
Лабораторная работа. Просмотр пользователей, подключенных к виртуальному серверу IMAP4, и управление этими пользователями
На этом практическом занятии вы рассмотрите список пользователей, подключенных к виртуальному серверу IMAP4. Вы узнаете, как отключить одного пользователя или всех пользователей без остановки виртуального сервера. Все действия на данном практическом занятии будут производиться на виртуальном сервере IMAP4. Аналогичная процедура может быть выполнена на любых виртуальных серверах межсетевых протоколов, кроме виртуальных серверов HTTP.
Упражнение 1. Просмотр пользователей) подключенных к виртуальному серверу IMAP4, и управление этими пользователями
Для просмотра на виртуальном сервере 1МАР4 подключений и управления ими, нужно выполнить следующие шаги:
1. Откройте Exchange System Manager,
2* Перейдите к Administrative Group八First Administrative Group\Servers\ServerO 1 \ Protocols\IMAP4 (Административные труппы\Первая административная группа\Сер- веры\5егуег01\Протоколы\1МАР4).
3. Щелкните два раза на IMAP4_serverl.
Для отображения в панели сведений информации о подключенных пользователях нажмите Current Sessions (Текущие подключения) в дереве консоли.
Для отключения одного пользователя щелкните правой кнопкой мыши на его имени в панели сведений и выберите в контекстном меню пункт Terminate (Отключись). Если в текущий момент нет ни одного подключенного пользователя, то вы не см。- жете выполнить данный шап
Для отключения всех пользователей шел к ните правой кнопкой мыши в любом месте панели снедений и выберите в контекстном меню пункт Terminate ЛИ (Отключить всех).
創 Практикум по устранению проблем
Работники Coho Winery, регистрирующиеся на сервере с помощью 1МАР4-клиентов, сообщают о проблемах с извлечением почты* Для проверки этих проблем вы измените уровень диагностики для виртуальных серверов IMAP4, чтобы в журнал приложений (Application log) заносились записи о каждом шаге, выполняемом для запуска задачи, а уровень протоколирования обеспечил бы предоставление подробной информации после локализации проблемы. Аналогичную процедуру можно выполнить и для вирту- ал ьных серверов POP3, выбрав службу POP3Svc.
Перед выполнением задания убедитесь, что у вас имеются два сервера Exchange Server 2003, настройки которых удовлетворяют требованиям, приведенным в разделе «Прежде всего涉 в начале этой главы. Проверьте, что служба Microsoft Exchange IMAP4 запущена. Также вам необходимо создать дополнительный виртуальный сервер 1МАР4 с именем IMAP4_serverl (соответствующая процедура была описана в данной главе).
Упражнение 1. Установка уровня диагностики и просмотр записей в журнале событий
Для установки уровня диагностики н просмотра журнала событий ну*но выполнить следующие шаги:
Откройте Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Servers\ServerOI (Административные группы\Псрвая административная rpyTinaXCepBepuXServerOl).
Щелкните правой кнопкой мыши на ServerOl и выберите пункт Properties (Свойства) в контекстном меню.
Перейдите на вкладку Diagnostics Logging (Диагностическое протоколирование) и нажмите 1MAP4SVC в разделе Services (Службы).
Щелкните мышью на пункте в списке Category (Категория). В результате откроется диалоговое окно, показанное на рис. 9-16.
Рис* 9-16* Установка уровня диагностического протоксигирования
Теперь соответствующий раздел в диалоговом окне становится активным и вы можете выбрать нужный уровень протоколирования (Logging Level):
None (Нулевой уровень) В журнал событий записываются только события, связанные с ошибками н критическими операциями.
口 Minimum (Минимальный) В журнал событий заносится по одной записи для каждой важной задачи» выполняемой службой. Данный уровень протоколирования может помочь локализовать возникающую проблему,
Medium (Средний) В журнал событий заносятся записи для каждого шага, выполняемого при запуске задачи. Данный уровень протоколирования позволяет сохранить подробную информацию, необходимую для решения проблемы после ее начальной локализации.
Maximum (Максимальный) Протоколируется выполнение каждой строки кода в службе. Данный уровень обеспечивает сохранение самой подробной информации о выполняемых операциях и запись в журнал всех возникающих событий. Максимальный уровень протоколирования может влиять на производительность сервера и должен использоваться только в тех случаях, когда требуется детальная отладка.
Выберите Medium (Средний) и нажмите ОК.
Приостановите и запустите заново Default IMAP4 Virtual Server н IMA Р 4 serve г /.
Откройте на ServerOl утилиту Event Viewer.
В Event Viewer выберите Application log (Журнал приложений) и дважды щелкните мышью на событии, имеющем тип IMAP4SVC. На рис. 9-17 показано содержание типичной записи о событии.
Рис. 9-17. Запись в журнале приложений для виртуального сервера IMAP4
Нажмите ОК для закрытия диалогового окна Event Properties (Свойства события).
Закройте Event Viewer и Exchange System Manager.
ГЛАВА 1 О
SMTP-протокол:
Настройка и управление
328345360328345360Занятие 1. Управление поддержкой переноса сообщений SMTP
328
345
360
328
345
360
Занятие 2. Настройка SMTP-безопасности и дополнительные возможности
Занятие 3. Настройка взаимодействия с другими SMTP-системами обмена сообщениями
Темы экзамена
Настройка и устранение неполадок взаимодействия с другими системами обмена SMTP-сообщениями.
Связь: управление и устранение неполадок.
Диагностика проблем сетевой связи.
В этой главе
SMTP — это стандартный протокол доставки сообщений между TCP/IP-узлами. Иначе говоря, он используется для переноса электронной почты по Интернету и в большинстве корпоративных сетей. Протокол включает ряд команд (открытым тестом), используемых для передачи сообщений между узлами. Администратор Exchange Server 2003 должен точно представлять, как SMTP переносит сообщения, как он настраивается и как обеспечивается безопасность SMTP-связи.
Протокол £5^7/*(Extended SMTP) расширяет функциональные возможности SMTP, предоставляя дополнительные команды, которые используются, например» для проверки полномочий узла и при шифровании. Большинство систем обмена сообщений поддерживают SMTP, а некоторые поддерживают и ESMTP Вам необходимо знать, как настроить SMTR как разрешить проблемы SMTP-связи, как настроить безопасность исходящей почты SMTP и как обеспечить возможность взаимодействия.
Примечание Эта глава посвяшена управлению протоколом SMTP н его настройке. Зашита, мониторинг и устранение неполадок будут рассматриваться при необходимости, но эти вопросы более подробно рассмотрены в главах И, 12 и 13.
Прежде всего
Для выполнения упражнений, рассматриваемых в этой главе, потребуются:
Два сервера Microsoft Windows Server 2003, Enterprise Edition, установленных в каталоге AD служебного домена tailspinloys.com. ServerOl должен быть контроллером домена, a Server02 — рядовым сервером.
Примечание Предполагается, что ServcrO 1 и Serveг02 настроены в соответствии с ранее указанными инструкциями, независимо от действительного имени домена. Если у вас домен имеет имя, отличающееся от taiispintoys.com, нет необходимости менять его.
ServerOI должен являться корневым сервером центра сертификации предприятия. (Если вы не уверены в порядке установки Certificate Services, обратитесь к справочной системе Windows Server 2003.)
На обоих серверах должен быть установлен Exchange Server 2003, Enterprise Edition. ServerOl и ServerO2 должны быть соответственно серверами хранилищ (back-end server) и интерфейса (front-end).
Желательно, чтобы на Server02 был установлен модем. Но это не обязательно.
Должен быть доступен DNS-сервер. Обычно DNS устанавливается на контроллере домена.
Должен быть создан и настроен дополнительный SMTP-сервер. Его настройка рассматривалась в одной из лабораторных работ главы 9.
Эксперименты с серверами и клиентами сторонних производителей
Опытные пользователи зачастую стремятся расширить свои сети таким образом, чтобы они могли использоваться для дальнейшего экспериментирования. В этой главе, например, может быть полезно установить дополнительные клиентские узлы (например, UNIX) и использовать систему обмена сообщений, отличную от Exchange Server 2003, В этом сл^ае (учитывая, что большинство из нас имеют ограниченный бюджет), можно выбрать такой продукт, как Connectix Virtual PC (whw.connectix.com) или VMWare (whw.vmware.com).
Занятие 1. Управление поддержкой переноса сообщений SMTP
Дпя реализации соединений SMTP использует SMTP-коннекторы и виртуальные серверы. SMTP может быть настроен для различных окружений. SMTP-получатели могут иметь один SMTP-адрес или несколько SMTP-адресов. Exchange Server 2003 может объединять получателей в виртуальные организации, имеющие свое собственное адресное пространство.
Изучив материал этого занятия, вы сможете:
объяснить, как работает SMTP-подклюнснне;
описать общие SMTP-команды и коды-отклики;
объяснить, как работает ESMTP-подключение;
описать общие ESMTP-команды;
настроить DNS на поддержку SMTP;
настроить SMTP-коннектор;
определить способы устранения неполадок SMTP-подключения.
Продолжительность занятия — около 90 минут.
Как SMTP реализует подключение
Примечание В этом занятии представлен обзор SMTP- и ESMTP-команд, но содержимое сетевых пакетов SMTP и ESMTP подробно не описывается. За дополнительной информацией обращайтесь к документам RFC 8 21, 8 22 и 1869, которые можно найти на www,rfc-editor.org/ifc. Лtml.
Когда узел Exchange Server 2003 подключается к другому узлу, он выполняет это с помощью стандартных SMTP-команд и числовых кодов-откликов. Это подключение использует йсимметричный протокол запросов -ответов (asymmetric request-response), работа которого заключается в том, что один узел посылает команду, ожидает отклика и только после этого посылает следующую команду. Предположим, что SMTP-клиент (HostOl) отправляет сообщение SMTP-серверу (ServerOl). Вот как выглядит эта процедура:
HostOl инициирует TCP-соединение с ServerOL Serveг01 возвращает отклик 220 (ready), который указывает, что он открыл соединение.
HostOl отправляет команду helo. Она запрашивает инициацию SMTP-сеанса. ServerO 1 возвращает отклик 250, который указывает, что запрашиваемое действие выполнено успешно.
HostO 1 определяет отправителя сообщения с помощью команды mail from:. ServerOl возвращает отклик 250.
HostO 1 определяет ServerO 1 в качестэе получателя с помощью команды rcpt to:. ServerO 1 возвращает отклик 250,
HostO 1 с помощью команды data указывает, что он готов к отправке сообщения> ServerOl возвращает отклик 354, который свидетельствует о том, что сообщение может отправляться.
HostO 1 отправляет сообщение.
HostO 1 указывает на конец сеанса с помощью команды quit. ServerOl возвращает отклик 221, указывающий, что SMTP—служба закрывает соединение.
Наиболее распространенные SMTP-команды
SMTP-команды определяют передачу почты либо запрашиваемую пользователем функцию почтовой системы. Команды состоят из строки сим волов-букв, заканчивающейся символом возврата каретки <CRLF>. Если команда имеет параметры, то за ней следует символ пробела <SP>, параметры» а затем <CRLF>. Наиболее распространенные SMTP-команды представлены в табл. 10-1. Полный список команд можно найти в RFC-документах.
Табл. 10-1. Наиболее распространенные SMTP-команды
Команда
Описаиие
Helo
Запрашивает SMTP-сеанс н определяет отправляющий узел для получающего узла* Поле аргумента содержит FQDN-имя отправляющего узла
mail from:
Определяет отправителя сообщения. Он не обязательно должен совпадать с отправляющим SMTP-узлом. Например, отправляющий узел может использоваться для трансляции
rcpt to:
Определяет получателя сообщения. При наличии нескольких получателей эта команда используется в отношении каждого получателя
Data
Указывает, что отправляющий узел готов передавать сообщение
Quit
Указывает окончание SMTP-сеанса
Rset
Прерывает текущую почтовую транзакцию
Quit
Разрывает ТСР-сеанс
Vrfy
Позволяет отправляющему узлу перед отправкой сообщения проверять действительность получателя
Turn
Инициирует отправку с получающего сервера очереди сообщений, предназначенных для отправляющего сервера. Эта команда используется при коммутируемом удаленном доступе для запроса сообщений, находя* щихся на узле в очереди
Общие коды-отклики SMTP
В табл. 10-2 перечислены общие коды-отклики SMTP. Команды являются текстовыми строками, а коды-отклики являются числами. Однако отклики 220 и 221 в качестве параметров включают FQDN принимающего узла. Как уже упоминалось, этот список не является всеобъемлющим.
Табл. 10-2.
Общие коды-отклики SMTP
Код-отклик
Описание
220
Указывает на готовность SMTP-службы
221
Указывает» что SMTP-служба закрывает канал передачи
250
Указывает на успешное выполнение запрошенного действия
354
Сообщает отправляющему узлу о том, что сообщение должно отправляться
450
Указывает, что запрашиваемое действие не выполнено ввиду того, что почтовый яшик занят
451
Указывает, что запрашиваемое действие прервано ввиду внутренней ошибки обработки
452
Указывает, что запрашиваемое действие не выполнено ввиду недостаточности объема системного хранилища
500
550
Указывает на синтаксическую ошибку или нераспознаваемую команду
Указывает, что запрашиваемое действие не выполнено ввиду того, что почтовый ящик не доступен или не найден
552
Указывает, что запрашиваемое действие прервано ввиду того, что исчерпан объем выделенный под хранилище
554
Указывает, что транзакция не состоялась
Как ESMTP реализует соединение
Протокол ESMTP использует стандартные SMTP-команды и коды-отклики через 25 TCP-порт, но он также предоставляет и дополнительные возможности, такие как подтверждение доставки. За счет дополнительных команд обмена сообщениями, поддерживающих проверку полномочий узла и шифрование, ESMTP-соединение может быть более безопасным. Если ESMTP-узел инициирует сеанс с узлом, не поддерживающим этот протокол» то используется обычный SMTR
Операционные системы Windows 2000 н Windows 2003 поддерживают ESMTP по умолчанию. ESMTP-клиенты также имеются для ОС UNIX и Apple Macintosh.
Рассмотрим, как ESMTP-клиент (HostOl) отправляет сообщение на SMTP-сервер (ServerOl), Эта процедура происходит следующим образом:
HostOl инициирует TCP-соединение с ServerOl. ScrverOl возвращает отклик 220 (ready), указывающий, что соединение открыто.
HostOl посылает команду ehlo (а не helo). Она запрашивает инициацию ESMTP- сеанса. Если ServerOl поддерживает ESMTR то он возвращает отклик 250, который
указывает, что запрашиваемое действие успешно выполнено. Если Served) 1 не поддерживает ESMTP, то он возврашаст отклик 500, свидетельствующий о том, что он нс распознает эту команду.
Если HostOl получает отклик 250, то он продолжает ESMTP-сеанс. Он будет аналогичен SMTP-сеансу за исключением того, что будут доступны расширенные команды. Если HostOl получает отклик 50Q, то он отправляет SMTP-команду helo и начинает обычный SMTP-сеанс.
Наиболее распространенные команды ESMTP
ESMTP использует стандартные SMTP-команды (за исключением helo) и, помимо них, ряд дополнительных команд. В табл. 10-3 представлен ряд наиболее распространенных ESMTP-команд, Более подробный список команд можно найти в документе RFC-1869. Дополнительные подробности можно найти в RFC-документах, указанных в таблице.
Табл. 10-3.
Наиболее распространенные ESMTP-команды
Команда
Описание
Atrn
Команда turn с проверкой полномочий (см. табл. Ю-!), которая выполняется только в том случае, когда проверяются полномочия в ходе самого сеанса. Команда описана в документе RFC 2645
Etrn
Эта команда аналогична turn, но в ней определяется удаленный узел, на который будет доставляться почта. Команда описана в документе RFC 1985.
Pipelining
Разрешает пакетную отправку SMTP-команд без ожидания откликов от получающего узла
Chunking
Делает более эффективной отправку больших МIМЕ-сообщений (Multipurpose Internet Mail Extensions, MIME) за счет объединения «разделенных» данных по мере их транспортировки между SMTP-узлами
Starttls
Обеспечивает SSL-соединение (Secure Sockets Layer, SSL) между SMTP- клиентом и сервером посредством инициации TLS-соединения (Transport Layer Security, TLS). TLS-соединение должна инициировать клиентская система
Auth
Обеспечивает разновидность SASL SMTP-аутентификации (Simple Authentication and Security Layer, SASL), использующей для аутентификации SMTP-узлов протоколы Kerberos и NTLM. Использование SASL-механизма определяется параметром команды
Auth=login
Обеспечивает разновидность SASL для таких клиентов, как Netscape и Exchange Server 5.5, которым требуется базовая SMTP-аутентификация
help
Выводит список команд, поддерживаемых SMTP-узлом. Команда описана в документе RFC S21
vrfy
Определяет, существует ли учетная запись электронной почты и отою- чена ли она по умолчанию. Команда описана в документе RFC 821
dsn
Генерирует и отправляет уведомление о статусе доставки на отправляющий узел в случае сбоя доставки* Эта команда является усовершенствовав нисм NDR-механизма (non-delivery report, NDR). Команда описана в документе RFC 1891«м. след, стр.)
Табл. 10-3. (окончание)
Команда
Описание
size
Определяет размер сообщения до его получения. В стандартном SMTP сообщение должно быть передано получающей системе целиком или по частям до того, как оно может быть отвергнуто ввиду превышения ограничения размера. Команда описана в документе RFC 1870.
x-eps gssapi ntlm login
Использует механизм аутентификации, поддерживающий Kerberos и NTLM. Команда поддерживает такой же механизм аутентификации, как команда auth
x-exps=login
Использует характерный для Exchange Server 5.5 механизм аутентификации, поддерживающий NTLM и обеспечивающий совместимость с Exchange Server 5.5
x-link2state
Указывает поддержку для команды состояния связи verb Exchange 2000 Server. Например, она может использоваться для оповещении о том, что сервер допускает обмен сведениями。состоянии связи
x&xch60
Используется в ходе установления соединения с другим сервером, на котором выполняется Exchange. Команда используется для переноса в сообщениях Exchange-содержания
Риск использования команды vrfy
В реальных системах команда vrfy зачастую отключена. Многие администраторы считают, что она подрывает систему безопасности, поскольку она может помочь злоумышленникам определить идентификационные сведения доступных учетных записей электронной почты.
Проверка ESMTP-соединения
Для проверки связи между сервером Exchange Server 2003 и удаленным SMTP-узлом может использоваться команда ehlo. Если удаленный узел распознает эту команду, то вы можете проверить полномочия отправляющих и получающих узлов, а также осу* ществлять шифрование. Сначала вы устанавливаете соединение по 25 ТСР-порту с помощью утилиты telnet. В ходе установления соединения telnet сообщит, поддерживает ли удаленный узел ESMTP Однако это еще не свидетельствует о том, что возможно установление ESMTP-соединения. Возможно, например, что получающий узел является Exchange-сервером, на котором остановлена служба System Attendant. Для проверки возможности ESMTP-соединсния необходимо отправить команду elho. Если вы проверяете связь, войдя в систему с другого компьютера (который должен быть частью производственной сети), то после этой команды необходимо указать FQDN вашего сервера. Если удаленный узел отвечает кодом-откликом 250, то он поддерживает ESMTP- команды. Рассмотренная методика представлена на рис. 10-1.
[：! efatet Ferver (11 .taikpintQyacoim
2S0-Seruer0t.TailSpinToya.слл Hello [1в.в.1в,10О] 25@-TURN 25@TIZE 250-ETRH2S0-Seruer0t.TailSpinToya.слл Hello [1в.в.1в,10О] 25@-TURN 25@TIZE 250-ETRHРис. 10-L Проверка возможности ESMTP-соединенияРис. 10-L Проверка возможности ESMTP-соединения22Й Seruei'01 .TailSpinToys .con Microsof t ESMTP MftlL Service Etidy at Hun. 2S Aug 2003 09：32：54 -0700 EHLO
2S0-Seruer0t.TailSpinToya.слл Hello [1в.в.1в,10О] 25@-TURN 25@TIZE 250-ETRH
2S0-Seruer0t.TailSpinToya.слл Hello [1в.в.1в,10О] 25@-TURN 25@TIZE 250-ETRH
Рис. 10-L Проверка возможности ESMTP-соединения
Рис. 10-L Проверка возможности ESMTP-соединения
250-PIPELIHIHG
25H-DSN
25。-ENHANCEDSTRTUSCODES
2s0~8bitmii4e
2S0-BINDRYH1№
25R-CtlUHKlNG
250 URPY
25Й X -EXPS GSSAPI NTLH LOGIN
250-X~EXP^ LOGIH
鶏伺川JTH CS&AF】 NTLH LOCIH
250-flUTH-LOGIN
2S0-X-LINK2STATE
250-XEXCH6g
3SB OK
Эту же методику можно использовать для проверки стандартного SMTP-соединения между вашим сервером и удаленным узлом. В этом случае вместо команды ehlo должна использоваться команда helo.
SMTP-папки
Для временного хранения «находящихся в пути* сообщений SMTP использует три системные папки. По умолчанию эти папки создаются на сервере Exchange Server 2003 в C:\Program Files\Exchsrvr\Mailroot\vsi 1. Вот эти папки:
Pickup SMTP доставляет любые сообщения в формате SMTR которые помещены в папку Pickup. Exchange Server 2003 не использует эту папку.
Queue SMTP хранит вхедяшне SMTP-сообикния в этой папке сразу после их получения. Далее обработкой и доставкой этих сообщений занимается служба Internet Information Services (IIS).
Bad Mail SMTP хранит в этой папке недоставленные сообщения, которые не удается вернуть отправителю.
Для изменения расположения этих папок необходимо внести изменения в разделе настроек AD. В противном случае изменения будут перезаписаны (замешены). Для выполнения операции используется средство Adsiedit.exe.
Настройка DNS на поддержку SMTP
Наличие хорошо спроектированной службы DNS является критическим в работе организации Exchange Server 2003, В промзводствснной сети вы должны гарантировать, что DNS нс станет единственной точкой преткновения» предоставив вторичные DNS-серверы, Active Directory Integrated DNS или оба этих варианта. Когда SMTP-узел отправляет электронные сообшения на другой SMTP-узел, служба DNS разрешает доменное им” SMTP получающего узла в его IP-адрес* Доменные имена SMTP и адреса узлов содержатся в MX-записях (Mail Exchanger) DNS.
Обычно организация регистрирует в DNS множество MX-записей, что обеспечивает отказоустойчивость в том случае, если SMTP-узел становится недоступным. Если получающий SMTP-узел недоступен, то отправляющий SMTP-узел извлекает из DNS все МХ-запмсн получающего домена и разрешает в IP-адрес имя SMTP-узла с самым низким предпочтением. Если SMTP-узел с наименьшим предпочтением недоступен, то используется SMTP-узел с более высоким уровнем предпочтения. В случае разрешения доступного SMTP-узла в IP-адрес, с этим узлом устанавливается SMTP-сеанс,
Exchange-получатели могут иметь один SMTP-адрес либо несколько SMTP-адресов. Exchange может разделять получателей на множество виртуальных организаций, у каждой из которых имеется собственное адресное пространство SMTP и доменное имя. Имеется возможность настроить DNS на поддержку множества Exchange-серверов внутри вашей организации и реализовать либо одно, либо множество пространств доменных имен. Конфигурация DNS также определяется способом подключения вашей Exchange- организации к Интернету, а также тем, как осуществляется управление DNS-записями: самостоятельно (внутренне) либо вашим провайдером (через которого осуществляется подключение к Интернету) (Internet service provider, ISP),
MX-записи для организации, управляющей собственной DNS
В табл. 10-4 представлена настройка MX-записей в том случае, если организация управляет собственной службой DNS и имеет одно пространство имен. Для Server!)I, Server02 и Server03 должны существовать A-записи (Host).
Табл. 10-4.
MX-записи для одного пространства имен
Запись
Предпочтение
SMTP-узел
MX
10
server011 ta lisp / м toys, сот
MX
20
server 02. lailspi ntoys. com
MX
30
хепгег03 Jailspin toysxom
В табл. 10-5 и 10-6 представлена настройка MX-записей в том случае, если ваша организация управляет собственной DNS и имеет несколько пространств имен. Для ScrverOl и Scrver()2 должны существовать А-записи (Host) как в пространстве имен tailspintoys.com, так и в nwtraclers.com.
Табл. 10-5.
MX-записи, добавленные в пространство имен tailspintoys.com
Запись
ПредпочтениеSMTP-узел
MX
MX
10serverOl, tailspin toys, сот
20serverO2,taihpin toys.com
Табл. 10-6.
МХ-залиси, добавленные в пространство имен nwtraders.com
Запись
ПредпочтениеSMTP-узел
MX
MX
10serverO/. w wtraders. сот
20se/yer02. ^traders. com
МХ-записм для организаций, у которых DNS управляет ISP
В табл. 10-7 представлен вариант, как ваш ISP может настроить МХ-запнсн, если организация имеет коммутируемое соединение с Интернетом, а службой DNS вашей организации управляет ваш провайдер Интернета (ISP). Обратите внимание, что smart-узлы ISP находятся в конфигурации с распределенной нагрузкой и имеют одинаковое пред* почтение. В пространстве имен ISP должны существовать А-запмсм для SmarthostOl и Smarthost02.
Табл. 10-7.
MX-записи в проетранстве имен ISP для коммутируемого соединения
Запись
Предпочтение
SMTP-узел
MX
10
smarthost 0 l.younsp хот
MX
10
smarthosl O2.yourisp. сот
В табл. 10-8 показано, как ISP может настроить МХ-запмсм в том случае, если ваша организация имеет соединение с Интернетом по выделенной линии и ISP управляет DNS вашей организации. В этой конфигурации при разрыве соединения сообщения будут доставляться на smart-узлы ISP, а вы сможете извлечь их после восстановления соединения. В пространстве имен ISP должны существовать А-запнсн (Host) для SmarthosiOl и Smarthost02, а также A-записи для serverOLtailspintoys.com.
Табл. 10-8. MX-записи в пространстве имен ISP для соединения с использованием выделенной линии
Запись
Предпочтение
SMTP-узел
MX
10
serverOl. tailspin toysxom
MX
20
smarthostO 1 .yourisp. com
MX
20
sm arthost02.yourisp. com
Настройка подключения к Интернету
Если необходимо изменить порядок поступления и отправки сообщений в Exchange- ортанмзаимн, можно воспользоваться некоторыми особенностями, позволяющими управлять подключением к Интернету. К ним относятся:
Создание и настройка дополнительного виртуального SMTP-сервера н настройка SMTP-коннектора для использования этого виртуального сервера в качестве платформы.
Ограничение области действия SMTP-коннектора до группы маршрутизации.
Настройка мандатов на SMTP-коннекторе.
Настройка SMTP-коннектора только на прием или только на отправку электронной почты.
Настройка форматов сообщений и параметров доставки сообщений.
Создание дополнительного виртуального SMTP-сервера
Виртуальный сервер по умолчанию может быть использован для настройки управляющих фильтров, ограничений трансляции, форматов сообщений, зашиты исходящей почты н параметров smart-узлов. Однако если вы хотите управлять этими аспектами от домена к домену, то необходимо создать дополнительный виртуальный сервер, а затем настроить SMTP-коннектор на использование этого виртуального сервера в качестве сервера-плацдарма (bridgehead server).
Когда вы настроите виртуальный сервер соответствующим образом, SMTP-коннектор перекроет любые настройки, совместно использовавшиеся виртуальным SMTP- сервером и SMTP-коннектором. Вы сможете, например, создать SMTP-коннектор с адресным пространством для определенного почтового домена и настроить этот коннектор на использование виртуального сервера, на котором не назначен ни один фильтр. Такая настройка может использоваться для отправки сообщений в расширенной корпоративной сети одной из партнерских компаний вашей организации. Создание н настройка SMTP-коннектора будут рассмотрены далее в этом занятии. Создание дополнительного виртуального SMTP-сервера рассматривалось в главе 9.
Ограничение области действия SMTP-коннектора
Имеется возможность ограничить область действия SMTP-коннектора до определенной группы маршрутизации. Это можно сделать в том случае, если необходимо, чтобы данным коннектором не доставлялись сообщения из других групп маршрутизации* Однако, если Вы хотите, чтобы SMTP-коннектор действовал как дублер для других аналогично настроенных SMTP-коннекторов в других группах маршрутизации, то необходимо принять предлагаемые по умолчанию настройки области действия (Entire Organization).
Настройка мандатов на бМТР^коннекторе
Можно настроить мандаты на SMTP-коннекторе если, напрнмер, коннектор настроен на лостанку сообщений в домен, а SMTP-сервер в этом домене требует аутентификации. Настройка мандатов коннектора не влияет на виртуальный сервер, который мог бы, например, не иметь защиты исходящей почты. Клиенты могли бы анонимно подключаться к другим доменам, в то время, как для подключения к указанному домену потребовалась бы аутентификация.
Настройка SMTP-коннектора только на прием или только на отправку электронной почты
Предположим, что сервер Exchange Server 2003 не может выполнить DNS-поиск Интернет-адресов, а вы хотите назначить этот сервер в качестве шлюза в Интернет. В этом случае можно настроить SMTP-коннектор, а затем указать для использования этому коннектору сервер-плаидарм. Вам таюке придется настроить область действия коннектора, маршрутизацию сообщений и адресное пространство.
Настройка интернет-форматов сообщений и параметров доставки сообщений
Форматы сообщений Интернета позволяют задать шифрование, формат и тип сообщений (такие как out-of-office (отсутствие на рабочем месте) или NDR), отправляемых определенному домену. Домен может обращаться к определенному пункту назначения, например nwtradersxom. Кроме того, можно использовать групповые символы, например *.ed『，для обращения к большой группе пунктов назначения. Имеется возможность определить формат сообщений для всех SMTP-доментов или для определенных доменов.
Примечание Для создания SMTP-коннектора и настройки отправки и получения электронной почты сервером Exchange Server 2003 также можно использовать мастер Internet Mail Wizard. Этот мастер в основном предназначен для небольших и средних компаний, имеющих более простое окружение, чем крупные компании. Internet Mail Wizard создает SMTP-коннектор для исходящей Интернст-почты, а после этого кон* фигурирует виртуальный SMTP-сервер на прием входящей электронной почты. Однако, если у вас уже настроены SMTP-коннекторы или на сервере Exchange Server 2003 созданы дополнительные виртуальные SMTP-серверы, то вы не сможете воспользоваться мастером до тех нор. пока нс сбросите настройки сервера в его исходное состояние.
Настройка SMTP-трансляции
Трансляция — это процесс, при котором один SMTP-yae』пересылает электронную почту другому SMTP-узлу, не выполняя разрешения адресов получателей. SMTP-коннектор mq*ho использовать для трансляции электронных сообщений между Exchange Server 2003 н другой ЗМТР'Совмсстимой системой обмена сообщения ми т такой как UNIX SendmaiJ (см. www.sendmaii.org), либо с другими SMTP-узлами в Интернете* Сер- вср-«плацдарм» или серверы, определенные в SMTP-коннекторе, будут транслировать сообщения электронной почты непосредстэенно на smart-узел или на удаленный сервер, на котором хранятся адреса получателей»
В Exchange Server 2003 существует шесть различных вариантов конфигурации SMTP- трансляции:
Настройка виртуального SMTP-сервера на использование smart-узла.
Настройка виртуального SMTP-сервера на перенаправление неразрешенных (unresolved) сообщений на smart-узел.
Настройка виртуального SMTP-сервера в качестве узла трансляции.
Настройка виртуального SMTP-сервера на ограничение числа серверов, которые могут выполнять трансляцию электронных сообщений.
Настройка SMTP-коннектора на использование smart-узла.
Указание доменов, на которые вы желаете транслировать сообщения.
Настройка виртуального SMTP-сервера на использование smart-узла
По умолчанию для разрешения SMTP-адрсса получателя виртуальный SMTP-сервер использует DNS. Вместо этого виртуальные серверы вашей организации можно настроить на перенаправление всей исходящей почты на smart-узел (smart host). После этого виртуальный сервер не будет пытаться разрешить доменное имя SMTP через DNS, а просто отправит сообщение smart-узла для доставки. Вот доводы в пользу использования smart-узла:
Он обеспечиеает единую точку входа и выхода для всех Интернет-сообщений или сообщений, адресованным к иным системам обмена сообшениямн. Это позволяет управлять трафиком.
Он обеспечивает решения коммутируемого доступа. Клиенты могут использовать коммутируемое соединение для отправки и получения сообщений с SMTP smart- узла, имеющего соединение по выделенной линии. Это сокращает время соединения, поскольку клиентам не требуется постоянная связь с сервером Exchange.
Идентификация smart-узла производится по FQDN пли по 1Р-адрссу. Однако при использовании последнего способа в случае смены IP-адреса, его приходится менять на каждом виртуальном сервере. При использовании IP-адреса его необходимо заключать в квадратные скобки. Exchange проверяет сначала имя сервера, а затем IP-адрес. Скобки служат для отождествления значения с IP-адресом, после определения которого Exchange пропускает операцию DNS-поиска. Настройка виртуального сервера на использование smart-узла заключается в указании smart-узла в поле Smart Host (Smart- узел) в диалоговом окне Advanced Delivery (Расширенные настройки доставки) виртуального сервера.
Настройка виртуального SMTP-сервера на перенаправление неразрешенных (unresolved) сообщений на smart-узел
В той организации, где помимо Exchange используются другие системы обмена сооб* щениями, можно перенаправлять вес «неразрешенные» SMTP-сообщения с Exchange на smart-узел. Если smart-узел не может разрешить имя получателя, то сообщение будет возвращено с NDR. Настройка виртуального SMTP-сервера на перенаправление «неразрешенных» сообщений на smart-узел осуществляется указанием smart-узла в поле Forward All Mail With Unresolved Recipients lb Host (Перенаправлять всю почту ^неразрешенным» получателям на узел) на вкладке Messages (Сообщения) виртуального сервера.
Настройка виртуального SMTP-сервера в качестве узла трансляции
Если настроить виртуальный SMTP-сервер как узел входящей трансляции, то это добавит Exchange Server 2003 возможности smart-узла. После этого можно настроить и другие SMTP-серверы на использование этого виртуального сервера Exchange в качестве их smart-узлов и перенаправлять все исходящие сообщения на этот виртуальный сервер. Виртуальный сервер разрешает доменное имя получателя через DNS и доставляет сообщения. Настройка виртуального сервера в качестве узла трансляции осуществляется путем настройки Relay Restrictions (О i ран имения ретрансляции) на вкладке Access (Доступ) виртуального сервера.
Настройка виртуального SMTP-сервера на ограничение числа серверов, которые могут выполнять трансляцию электронных сообщений
Можно предотвратить использование вашего SMTP-узла нежелательными SMTP-узлами в качестве агента трансляции, используемого для массовой рассылки электронной почты коммерческого содержания. Это достигается путем определения то「о, кому пре・ доставлено право трансляции электронных сообщений через вашу организацию. В настройках виртуального SMTP-сервера можно указать компьютеры, группы компьютеров либо домены, которым разрешено выполнять трансляцию. Для этого используется Relay Restrictions (Ограничения ретрансляции) на вкладке Access (Доступ) виртуального сервера.
Настройка SMTP-коннектора на использование smart-узла
По умолчанию SMTP-коннектор для разрешения SMTP-адреса получателя использует DNS. Имеется возможность вместо этого настроить перенапрааление коннектором всей и сходя шей почты на stnart-узел. Такая настройка осуществляется путем указания необходимого smart-узла в поле Forward All Mail Through This Connector To The Following Smart Hosts (Перенаправлять всю почту через этот коннектор на следующие Smart-узлы) на вкладке General (Общие) диалогового окна свойств SMTP-коннектора.
Примечание Smart-узлы можно определять как на виртуальных SMTP-серверах, так и на SMTP-коннекторах. Microsoft рекомендует осуществлять определение smart-узла на коннекторе, поскольку последний может обрабатывать доставку сообщений по доменам.
Указание доменов, на которые вы желаете транслировать сообщения
Можно ограничить число доменов, на которые вы желаете транслировать сообщения, а не доменов, с которых вы 1ранслируетс сообщения. Такой подход может быть полезен в тех случаях, когда в вашей организации используется несколько систем SMTP-обмена сообщениями, работающих под различными доменными именами. Можно обеспечить прием SMTP-узлом сообщений с любого домена, а перенаправление их только в определенные домены, такие как другие домены вашей организации. Указание доменов производится с помощью вкладки Address Space (Адресное пространство) SMTP-коннектора.
Лабораторная работа. Создание МХ-записей и настройка SMTP-коннектора
В ходе этой лабораторной работы вы настраиваете DNS на поддержку организации Exchange Server 2003, после чего создаете и настраиваете SMTP-коннектор. Это типичные задачи адм и н истрирован и я, которые приходится выполнять при настройке SMTP в Exchange-организации.
Упражнение 1 ・ Создайте MX-запись для серверов
Exchange Server 2003 Servers
В этом упражнении вы создадите MX-записи для ScrvcrOl и ServerO2. Предполагается, что оба этих сервера настроены как серверы Exchange Server 2003 и контроллер домена (ServerOl) является первичным DNS-ссрвсром (либо стандартным, либо Active Directory Integrated). MX-записи будут настроены таким образом, чтобы SMTP-подключение к вашей организации сначала осуществлялось через ServerOl, а если он недоступен, то подключение будет производиться к Serveг02. После создания МХ-записсй для их проверки будет использоваться консоль Command.
Для создания MX-записей для ServerOl и Servcr02 выполните следующие действия: 1. Откройте консоль DNS.
2.
3.
4.
5.
6.
7.
8.
В дереве консоли разверните ServerOl, разверните Forward Lookup Zones (Зоны прямого просмотра), а затем разверните tailspintoys.com.
В дереве консоли шелкните правой кнопкой tailspintoys.com, а затем щелкните New Mail Exchanger (MX) (Новый почтовый обменник).
В диалоговом окне New Resource Record (Новая запись ресурса) в поле Fully Qualified Domain Name (FQDN) Of Mail Server (FQDN почтового сервера) введите ServerOl. tailspintoys.com. В поле Mail Server Priority (Приоритет почтового сервера), введите 10, а затем щелкните ОК.
Убедитесь, что теперь для ser\ferOLtailspin-toys.com существует новая запись типа Mail Exchanger (MX).
В дереве консоли шелкните правой кнопкой iailspintoys.com, а затем щелкните New Mail Exchanger (MX) (Новый почтовый обменник).
В диалоговом окне New Resource Record (Новая запись ресурса) в поле Fully Qualified Domain Name (FQDN) ОГ Mail Server (FQDN почтового сервера) введите Server02. tailspintoys. com. В поле Mail Server Priority (Приоритет почтового сервера) введите 20, а затем щелкните ОК,
Убедитесь» что теперь для serverOl.tailspin-toys.сот существует новая запись типа Mail Exchanger (MX). На данном этапе экран должен выглядеть, как на рис. 10-2.
二 dnsmomt - [DNSV6fRVER0t\Fonw>il Lbukup 2опЕя\Т^№<рк*^с»м^хмп)
*,日6 flttKn 根"断do* 史七
二二]由而又旨圆Im^^'
S 囲 anvfRoi
a 口 Forward Li»Mp Zones
"!剪 _пнЛз, T*JSc«nTciy5-CDm 旧 Т«йрГ|Тоу»дчт 串偉jredcv 由@山* га 口 jtcp IflCJ.udp 曰口 CXNn*riDns3ai« 由二I FonWtDr嗝 aw
litl 'О RewwMs Loohup 2опы 王电EE Weg
T〃¥nt0>工Сое iSrKcra»)
C-l_tqi
P-唯 goww^n^9^ i£jFor^tDf|S2»« !($амшр«г«г<Ш№) (*SM и EUrant f@lx：| (ад« 第 arsi* fd&rl {«ante ds parBT< f 國如] [same s parent Foidw)
Sr.errc* Authcrtyfb.
Nome Sever (N5)
” (A)
HMC(A)
，М»151м)в{Ж1
]92Л6ВЛЛа
10.0. юл о 10,040.100
192.1^ Л ЛП
[2fl] wrv«r魄М蹴;声岷>yi£«n
Най (А) 3(A)
Рис. 10-2. Проверка МХ>записей
Для проверки работы записи для ServerOl откройте консоль Command (Команда) на ServerO2.
В командной строке введите nslookup -querytype=mx ServerOl, а затем нажмите ENTER, Должна появиться информация о настройках первичного сервера имен serverOl.lailspintoys.com DNS (рис. 10*3).
Рис. 10~3. Проверка разрешения MX-записи для ServerOl
1L Закройте консоли Command н DNS、
Упражнение 2* Создание и настройка SMTP-коннектора
В этом упражнении вы создаете и настраиваете SMTP-коннектор, а также указываете виртуальный SMTP сервер по умолчанию на Serveг02 в качестве сервера^«плацдарма». Для выполнения последующих упражнений этой главы выполнить это упражнение необходимо обязательно.
Откройте Exchange System Manager и выберите Administrative Groups\First Administrative Group\Routing Groups\First Routing Group\Connectors.
Щелкните правой кнопкой Connectors (Коннекторы), укажите New (Создать), а затем щелкните SMTP Connector (Коннектор SMTP).
В диалоговом окне Properties (Свойства) в панели Local Bridgeheads (Локальные плацдармы) щелкните Add (Добавить).
В диалоговом окне Add Bridgehead (Добавить плацдарм) щелкните SERVER02 Default SMTP Virtual Server (Виртуальный SMTP-сервер по умолчанию SERVER02), а затем щелкните ОК.
В диалоговом окне Properties (Свойства) в поле Name (Имя) введите General SMTP Connector.
Перейдите на вкладку Address Space (Адресное пространство), а затем щелкните Add (Добавить).
В диалоговом окне Add Address Space (Добавить адресное пространство) щелкните SMTP, а затем щелкните ОК,
В диалоговом окне Internet Address Space Properties (Свойства адресного пространства Интернета) убедитесь, что E-Mail Domain (Домен электронной почты) имеет значение *,
указывающее, что вся исходящая SMTP-почта использует этот коннектор, а затем щелкните ОК.
9+ Щелкните ОК в диалоговом окне General SMTP Connector Properties (Свойства General SMTP Connector).
10. Убедитесь, что в контейнере First Routing Group Connectors существует объект General SMTP Connector {pi\c. 10-4).
Рис. 10-4. Объект General SMTP Connector
Лабораторная работа. Настройка SMTP-коннектора для использования узла трансляции для исходящего SMTP
В ходе этой лабораторной работы вы настроите SMTP-коннектор для использования узла трансляции Ш1я исходящего трафика SMTR Для выполнения этой работы обязательным является наличие в организации SMTP-коннектора. Если его нет, то его необходимо создать, выполнив упражнение 2 предыдущей лабораторной работы*
Для настройки Exchange на использование узла трансляции SMTR выполните следующие действия:
Откройте Exchange System Manager, выберите Administrative Groups\First Administrative Group\Routing Groups\First Routing Group\Connectors и раскройте Connectors (Коннекторы).
В дереве консоли щелкните правой кнопкой General SMTP Connector, а затем щелкните Properties (Свойства).
В диалоговом окне General SMTP Connector Properties (Свойства General SMTP Connector) на вкладке General (Общие) щелкните Forward All Mail Through This Connector To The Following Smart Hosts (Перенаправлять всю почту через этот коннектор на еле-
дующие Smart-узлы), введите SMARTHOST, а затем щелкните ОК. (Обратите внимание, что компьютер SMARTHOST не существует. Это лишь имя, указанное в целях проверки.)
Для проверки правильности настройки SMARTHOST отправьте пробное сообщение из Outlook Web Access (OWA) на dJwll@tailspintoys666.com, а затем проверьте объект Queues, находящийся в ветви Administrative Groups\First Administrative Group\Servrers\ ServerO2\Queues в Exchange System Manager. Проверьте существование объекта General SMTP Connector - SMARTHOST (SMTP Connector) (рис. 10-5).
Рис. 10-5. Проверка настройки SMARTHOST
Присутствие слова SMARTHOST указывает, что коннектор настроен верно. Этот коннектор не является работоспособн ы м, поскольку нет компьютера SMART HOST 4U и нет подключения к сети за пределами нашей пробной сети.
Закрепление материала
Ниже представлены вопросы, предназначенные для закрепления ключевой информации этого занятия. Вели вы не сможете ответить на вопрос, повторно изучите материал занятия и попробуйте снова ответить на этот вопрос. Ответы на вопросы представлены в разделе «Вопросы и ответы» в конце главы.
Вы являетесь администратором сети и хотите проверить связь между узлом вашей сети и новым, только что настроенным сервером Exchange Server 2003» Необходимо убедиться, что сообщения электронной почты могут шифроваться. Мо*но «прозв。- ннть» (ping) этот сервер по имени узла. Вы подключены к порту 25 на этом сервере. Какую команду необходимо использовать?
atгп.
etrn.
elho.
d* helo.
Вы являетесь администратором Contoso ISP, Имеются два SMTP-ссрвера» настроенные как smart-узлы: smart/.contoso.сот и smart2tcontoso,com. Ваш Интернет-провайдер
(ISP) управляет DNS-записями компании Northwind Traders, чей сервер Exchange Server 2003 имеет FQDN таilserv.лwtraders.сот. Northwind Traders для связи с вашим провайдером использует выделенную линию. Какие MX-записи необходимо указать в DNS для данной ситуации?
MX ]() smartl.contoso,сот
MX 10 sfnart2.contoso.cow
MX 20 matlserv.nwfraders.com
MX \^ mallserv.contosQ.com
MX 20 smart I.contoso.com
MX 20 smart2.nwtraders.com
MX 10 smartl.contoso.com
MX 20 smart2,contoso. com
MX 30 mailserv.nwtraders.com
MX 10 m a / Iserv. con toso. com
MX 10 smart Leon toso .com
MX 10 smart2. wwtraders, com
3. Вы являетесь администратором организации Exchange Server 2003 в вашей компании. Компания имеет два домена электронной почты. Вам хотелось бы управлять фильтрами, ограничениями трансляции, форматами сообщений» безопасностью исходящей почты и параметрами smart-узла раздельно для каждого домена. Какой методикой можно было бы воспользоваться?
а. Создать дополнительный виртуальный сервер н настроить SMTP-коннектор на использование его в качестве плацдарма.
Настроить все эти позиции на виртуальном SMTP-сервере по умолчанию.
Настроить форматы сообщений и параметры доставки для каждого домена.
Ограничить область действия SMTP-коннектора определенной группой маршрутизации.
4. Вы являетесь администратором сервера Exchange Server 2003. Вы хотите, чтобы он действовал как smart-узел. В организации имеется один SMTP-домен, Как необходимо настроить ваш сервер?
Настроить SMTP-коннектор на перенаправление всей исходящей почты.
Настроить виртуальный SMTP-сервер по умолчанию как узел трансляции.
Настроить виртуальный SMTP-ссрвср по умолчанию на перенаправление всех «неразрешенных» сообщений.
Указать на используемом по умолчанию виртуальном SMTP-сервере, какие серверы могут выполнять трансляцию электронной почты.
5，Необходимо, чтобы структура Exchange Server 2003 обладала возможностью узла диспетчеризации (smart-узла). Как должен быть настроем виртуальный сервер для обеспечения этих возможностей и как реализовать такую настройку?
Резюме
SMTP пересылает сообщения электронной почты с помощью ряда символьных команд, которые передаются от узла-отправителя к узлу-получателю. Узел-получатель отвечает на эти команды с помощью числовых кодов-откликов. Протокол ESMTP расширяет функциональность SMTP.
Для идентификации почтовых серверов и разрешения их IP-адресов DNS использует МХ-запнсм.
в Доступ к Интернету можно контролировать путем создания и настройки дополнительных виртуальных SMTP-серверов и SMTP-коннекторов.
Трансляция — это процесс, при котором один SMTP-узел пересылает электронную почту другому SMTP-узлу без разрешения адреса получателя.
Для ограничения трафика трансляции, для взаимодействия с иными системами обмена сообщениями и для настройки сервера Exchange Server 2003 в качестве smart- узла SMTP-трансляюцию мо*но настраивать.
Занятие 2. Настройка SMTP-безопасности
и дополнительные возможности
В главе 11 безопасность Exchange Server 2003 рассматривается более подробно. В ходе этого занятия мы вкратце рассмотрим защиту SMTP-трафика за счет использования аутентификании, шифрования и обратного DNS-поиска. Мы также определимся, когда использовать (а когда ограничить или запретить) открытую трансляцию, а также как выполнить ограничение учетных записей пользователей в вопросе отправки Интернет- почты. Кроме того, это занятие охватывает использование службы Routing and Remote Access для связи Exchange-серверов с Интернетом, а также получение электронной почты от Интернет-проаайдера за счет настройки дополнительных параметров, таких как использование команды etrn. И в заключение этого занятия будут рассмотрены способы устранения неполадок проблемных e-mail-соединений.
Изучив материал этого занятия, вы сможете:
， настраивать входящие и исходящие соединения
на виртуальном SMTP-сервере;
объяснять и различать различные методы аутентификации;
настраивать на виртуальном SMTP-серверс входящую аутентификацию и шифрование;
o6bflCHMTbi как обратный DNS-понск может использоваться
для предотвращения атак типа <*1Р-спуфинга^>;
настраивать ограничения доставки таким образом, чтобы отправлять и принимать Интер нет-по чту могли только отдельные пользователи;
ограничивать или предотвращать распространение почтовой рассылки коммерческого содержания (junk);
получать электронную почту от Интерннет-лровайдсра по коммутируемому соединению.
Продолжительность занятия - около 60 минут.
Настройка соединений
Соединение инициируется всякий раз при отправке или получении сообщения от удаленного сервера. На виртуальном SMTP-cepRepe можно настроить и входящее, и исхо* дящес соединение.
Настройка входящих соединений
Настройка входящий соединений осуществляется с помощью диалогового окна свойств виртуального SMTP сервера. На вкладке General (Общие) указываются параметры, представленные в табл. 10-9.
Табл. 10-9. Параметры входящего соединения
Параметр
Описание
Limit Number Of Connections To
Указывает количество одновременных соединений при
(Ограничить количество соеди-
доставке входящих сообщений. Если флажок сброшен,
нений до)
то ограничения не накладываются. Если флажок уста-
новлен, то минимально разрешается одно соединение
Connection Time-Out (Minutes)
Указывает время до закрытия неактивного соединения.
(Тайм-аут соединения (минут))
По умолчанию — 10 минут
Настройка исходящих соединений
Для настройки исходящих соединений также используется диалоговое окно свойств виртуального сервера. В данном случае настройки выполняются в разделе Outbound Counections (Исходящие соединения) вкладки Delivery (Доставка), Эти настройки помогут вам наблюдать за ресурсами системы, ограничивая неактивные и соединения с удаленными доменами. Параметры представлены в табл. 10-10.
Табл. 10-10. Параметры исходящих соединений
ПараметрLimit Connections То (Ограничить количество соединений до)ПараметрLimit Connections То (Ограничить количество соединений до)Time-Out (Minutes) (Лайм-аут (минут))Limit Connections Per Domain То (Ограничить количество соединений для домена до)Time-Out (Minutes) (Лайм-аут (минут))Limit Connections Per Domain То (Ограничить количество соединений для домена до)Описание
Параметр
Limit Connections То (Ограничить количество соединений до)
Параметр
Limit Connections То (Ограничить количество соединений до)
Time-Out (Minutes) (Лайм-аут (минут))
Limit Connections Per Domain То (Ограничить количество соединений для домена до)
Time-Out (Minutes) (Лайм-аут (минут))
Limit Connections Per Domain То (Ограничить количество соединений для домена до)
Указывает общее количество одновременных исходящих соединений для всех удаленных доменов. По умолчанию — 1000 соединений. Минимум — одно соединение. Этот параметр совместно с параметром Limit Number Of Messages Рсг Connection To (Ограничить количество сообщение для соединения до), расположенным на вкладке Messages (Сообщения), может использоваться для повышения производительности. Если этот флажок не устанавливать, никаких ограничений нс вводится
Указывает время до закрытия неактивных соединений.
По умолчанию — 10 минут.
Ограничивает соеднненн兄 с любым удаленным доменом.
По умолчанию ——100 соединений. Это количество должно быть менее или равно значению параметра Limit Connections То (Ограничить количество соединений до). Если этот флажок не устанавливать, никаких ограничений не вводится
Табл. 10-10. (окончание)
Параметр
Описание
TCP Port (Порт TCP)
Выделяет TCP-порт на удаленных SMTP-серверах, с которым соединяется виртуальный SMTP-сервер. По умолчанию — порт 25. Настройка порта исходящего трафика может быть такой же, как и настройка порта для входящих передач
Безопасность SMTP-трафика
Обеспечить зашиту SMTP-тафика можно с помощью аутентификации (authentication), шифрования (encryption) и обратного DNS-поиска. Аутентификация (проверка полномочий) гарантирует, что пользователь именно тот, за кого он себя выдаст. Более мощные методы аутентификации, такие как Kerberos, гарантируют, что помимо полномочий пользователя проверяются полномочия почтового сервера. Шифрование гарантирует, что прочитать сообщение может только тот получатель, которому оно предназначено. Обратный DNS-поиск используется дл只 предотвращения ^спуфинга^ (spoofing), в ходе которого атакующий для получения несанкционированного доступа выступает от имени доверяемого узла за счет использования его IP-адреса.
Аутентификация
Exchange поддерживает три способа аутентификации: анонимная аутентификация, базовая аутентификация и Integrated Windows Authentication. Выбор способа определяется окружением.
Анонимная аутентификация
Это самый распространенный метод, используемый для Интернет-подключений 兄 обеспечивающий ограниченный доступ к указанным общим папкам и сведениями о каталогах. Анонимная аутентификация поддерживается всеми клиентами и используется для предоставления пользователям доступа к несекретному содержанию, находящемуся в общих папках. Для возможности анонимного подключения вы создаете учетную запись пользователя в 1IS.
Базовая аутентификация
Для предоставления доступа к данным почтового я шика Exchange выполняет простую аутентификацию (типа запрос/ответ), требуя у пользователей ввод имени, доменного имени и пароля. Большинство клиентских компьютеров поддерживают базовую аутентификацию. Этот способ обеспечивает простейший уровень защиты.
Внимание! В ходе базовой аутентификации пересылка имени пользователя н пароля производится открытым текстом. Следовательно, она является небезопасной. Базовая аутентификация должна использоваться в тех случаях, если отсутствует альтернативный вариант либо зашифрован весь ТСР/1Р-ссанс.
Integrated Windows Authentication
Этот способ обеспечивает безопасность, эффективную связь и прозрачность. Integrated Windows Authentication можно использовать в тех случаях, когда Windows-клиенты не используют TLS. Этот метод использует Kerberos для клиентов, работающих с ОС Wndows 2000 и последующих версий, a NTLM — для Windows-клиентов не использующих AD. При использовании Integrated Windows Authentication пароль пересылается в виде зашифрованного значения.
Шифрование
Шифрование скремблирует (делает похожими на случайные данные) содержание сообщения электронной почты, что позволяет прочитать этот код только лицу, которое на своем компьютере имеет ключ для декодирования. Аутентификация нс выполняет шифрование данных сообщения. Следовательно, для того, чтобы действительно зашифровать данные для защиты электронных сообщений» передаваемых между клиентом и сервером, необходимо использовать TLS. Поскольку TLS шифрует весь ТСР/1Р-ссанс между сервером и клиентом, сеанс остается защищенным, даже если вы выберете базовый способ аутентификации, который не обеспечивает шифрование имени и пароля. Для использования TLS сервер должен располагать SSL-сертификатом Х.509, изданным доверяемым СА, Более подробную информацию о TLS можно найти в документе RFC 2487.
Обратный DNS-поиск
1Р-спуфинг — это атака на сеть, в ходе которой атакующий выдает себя за доверяемый узел* используя его IP-адрес. Разрешение обратного DNS-поиска помогает предотвратить 1Р-спуфинг. Обратный DNS-поиск разрешает IP-адрес в имя узла или в FQDN, В данном приложении DNS использует обратное сопоставление для подтверждения, что IP-адрес отправляющего узла из той сети, которая указана зарегистрированным доменным именем отправителя. Результат обратного просмотра записывается в SMTP- заголовок сообщения, что свидетельствует: соответствует ли просмотр.
Внимание! Обратный DNS-поиск может снизить производительность передачи сообщения и предотвращает трансляцию сообщений через множество маршрутизаторов.
Ограничение Интернет-почты
Ваша организация может иметь большое количество сотрудников, но прием и передачу Интернет-почты можно разрешить лишь нескольким из них. Например, некоторые компании предоставляют доступ к Интернет-почте только сотрудникам» работающим на полную ставку; в школе пользоваться Интсрнет-почтой можно разрешить только директору; а не учащимся.
SMTP-коннектор можно настроить таким образом, что только определенные пользователи или группы смогут отправлять электронную почту за пределы компании и управлять отправкой сообщений от определенного получателя на определенные коннекторы. Для принятия или отклонения сообщений от любого отправителя, перечисленного в каталоге, можно использовать настройки на вкладке Delivery Restrictions
(Ограничения доставки) окна свойств коннектора. Например, если добавить адрес отправителя в список Reject Messages From (Отвергать сообщения от), то любое сообщение от этого отправителя, обращающееся к данному коннектору» будет возвращено.
По умолчанию коннектор принимает все сообщения от всех отправителей> Ограничения отправки (delivery restrictions) необязательны и могут использоваться при необходимости. Ограничить отправку Интернет-почты для учетной записи пользователя можно выбрав в Exchange System Manager объект Connectors (Коннекторы), щелкнув правой кнопкой коннектор, который вы хотите ограничить, щелкнув Properties (Свойства) и указав имя отправителя или отправителей в панелях Accept Messages From (Принимать сообщения от) или Reject Messages From (Отвергать сообщения от) на вкладке Delivery Restrictions (Ограничения доставки). Подробные действия по ограничению учетной записи пользователя рассмотрены в лабораторной работе в конце этого занятия.
Предотвращение или ограничение распространения рассылок коммерческого характера
Если ваша Exchangc-opraнизания подключена к Интернету и использует транзитную доставку или открытую трансляцию (open relaying) (т. е. не ограничивает и не предотвращает трансляцию писем), то Exchange-сервер уязвим для атаки, называемой mail relaying. Эта атака заключается в том, что несанкционированный пользователь отправляет сообщения с почтового сервера чужой организации. Это позволяет использовать ресурсы этой организации или делать так, чтобы сообщения выглядели как исходящие от этой организации. Эта практика зачастую используется для отправки нежелательной почты коммерческого характера, обычно называемой рекламой или спамом. Когда неуполномоченный пользователь использует ваш Exchange-сервер для рассылки спама, происходит следующее:
Несанкционированный пользователь отправляет одно сообщение на ваш SMTP- сервер и в качестве получателей указывает множество получателей. Эти получатели имеют электронные адреса, находящиеся в доменах, являющихся внешними по отношению к вашей Exchange-орган изации.
Поскольку SMTP-серверы по умолчанию используют анонимную аутентификацию, то ваш сервер принимает входящее сообщение.
После приема сообщения SMTP-сервер распознает, что получатели сообщения принадлежат к внешним доменам, поэтому он доставляет эти сообщения.
Неуполномоченному пользователю необходимо отправить только одно спам-сообщение на ваш SMTP-ссрвср, который затем доставит его тысячам получателей. Такое распространение замедляет работу сервера, перегружает очереди и досаждает людям, получившим спам. Это также может вызвать блокировку вашего сервера со стороны других серверов.
По умолчанию на виртуальных SMTP-серверах трансляция запрещена. Однако иногда трансляция необходима. Например, при наличии POP-клиентов (Post Office Protocol 3, POP3) и IMAP-клиентов (Internet Message Access Protocol 4, IMAP4), транслирующих на SMTP для доставки сообщений и имеющих законные основания для отправки электронных сообщений на внешние домены. В этом случае вы должны не разрешать либо существенно ограничивать открытую трансляцию на любой Exchange- сервер, подключенный к Интернету. Необходимо создать дополнительный виртуальный
SMTP-сервер, предназначенный для получения сообщений от POP- и IMAP-клиентов. Этот дополнительный сервер может использовать аутентификацию, совмещенную с шифрованием на основе SSL и иметь настройки, разрешающие трансляцию авторн- знрованным клиентам.
Примечание Дополнительную информацию о шифровании SMTP доставки сообше- ний для POP3' и 1МАР4-клиентов можно найти в статье Q319276 на странице Tech Net веб-сайта Microsoft: http://support.microsoft.сот/.
Для предотвращения распространения спама через вашу Exchange-организацию необходимо запретить или ограничить открытую трансляцию. Для этого не надо предоставлять разрешение трансляции любым узлам. Сократить трансляцию, предоставив разрешения ограниченнохту числу пользователей или групп можно с помощью Discretionary Access Control List (DACL), указав их в этом списке. Последняя методика полезна в тех случаях, когда необходимо предоставить возможность трансляции группе пользователей, запретив для всех остальных возможность трансляции сообщений в Интернет. Также имеется возможность предоставить разрешение трансляции (relay permission) IP-адресу, домену и подсети.
Лабораторные работы этой главы предоставляют подробные инструкции по пре- дотврашению открытой трансляции и перекрытию ограничений виртуального SMTP- сервера.
Получение почты от Интернет-провайдера по коммутируемому соединению
Если ваша организация подключается к Интернету через коммутируемый доступ и если вы настроили Exchange на прием Интсрнет-почты с использованием SMTP, то любое сообщение, отправляемое во время отсутствия такого соединения, n，o*ct быть потеряно. В этой ситуации необходимо подключить Exchange-серверы к Интернету с помощью службы Routing and Remote Access. В этой службе необходимо настроить коммутируемое соединение по требованию (on-demand dial-up connection)» 日 затем сконфигурировать smart-узел для виртуального SMTP-сервера или SMTP-коннектора.
Pull-отношение — это отношение, при котором один компьютер помещает сообщения в очередь, а другой компьютер извлекает (pulls) их с помощью команд turn или etrn. Когда необходимо организовать риЛ-отношсшю между серверами можно использовать SMTP-коннектор и настроить его на извлечение электронной почты из очереди удаленного SMTP-сервера через определенные интервалы. Это означает, что удаленный домен (обычно Интернет-провайдера) может получать и удерживать электронную почту от имени домена назначения. Сообщения, направленные на удаленный домен, хранятся до тех пор, пока от уполномоченной на то учетной записи вашего Exchange- сервера не будет получена SMTP-команда etrn или turn.
Дли извлечения электронной почты для указанной группы маршрутизации можно настроить Exchange на использование команд etrnT найдя контейнер Connectors этой группы в Exchange System Manager, щелкнув правой кнопкой SMTP-коннектор, а затем щелкнув Properties (Свойст&а). В диалоговом окне Properties (Свойства) щелкните Advanced (Дополнительно), а затем щелкните Request ETRN/TURN When Sending Messages (Запра-
шивать ETRN/TURN при отправке сообщений). При необходимости, укажите интервал времени, через который SMTP-коннектор будет контактировать с удаленным доменом и запускать доставку находящихся в очереди сообщений, а также установите флажок Additionally Request Mail At Specified Times (Дополнительно запрашивать почту в указанное время).
Более подробно процедура создания интерфейса коммутируемого доступа по требованию и настройка SMTP-коннектора на получение почты через Интернет-провайдер описаны в лабораторной работе далее в ходе этого занятия.
Распознание ошибок доставки сообщений
При доставке сообщения от одного узла другому ошибки могут возникать в различных местах. Первым шагом в поиске неполадок является распознание (определение) места, где возникла ошибка. Для решения проблем можно воспользоваться утилитами telnet и nslookup.
telnet В ходе предыдущего занятия мы рассмотрели, как используется telnet для проверки ESMTP-соединения. Если SMTP-узел не в состоянии доставить сообщения, с помощью telnet можно проверить, можно ли открыть TCP-порт к получающему узлу и отвечает ли получающий узел* Для указания открытия TCP-порта (25-го для SMTP) к узлу назначения можно использовать команду telnet fully_qualified_ domain.name 25. Для проверки SМТР-соединения можно использовать либо команду ehlo, либо helo.
nslookup Команду nslookup можно использовать для запроса к DNS в целях подтверждения, что DNS работает верно и что для определенного SMTP-домена существуют MX- и A (host)-3anwcH. Например, с помощью команды nslookup - querytype=mx tailspintoys, com вывеет все MX-записи DNS для домена taitspintoys, сот.
Лабораторная работа. Настройка SMTP-безопасности
и соединений по требованию
В ходе этой лабораторной работы вы настраиваете аутентификацию и шифрование, ограничиваете для некоторых учетных записей возможность отправки Интернет-почты и настраиваете трансляцию. В Exchange имеется возможность запретить открытую трансляцию, ограничить для определенных пользователей разрешение открытой трансляции или перекрыть настройки трансляции на виртуальном SMTP-ссрвере. И, наконец, вы настраиваете виртуальный SMTP-червер на извлечение почты, накапливаемой в очереди иа другом сервере.
Упражнение 1. Настройка аутентификации входящих сообщений
В ходе этого упражнения вы настраиваете аутентификацию на дополнительном виртуальном сервере, созданном в главе 9. Эта же процедура может использоваться для настройки аутентификации на виртуальном сервере ло умолчанию. Задача может быть выполнена при регистрации как на ServcrOl, так и на Serveг02 в качестве адмннистра- тора домена или exchange-администратора.
Соблюдение безопасности с помощью Runas
В производственной сети Правило наименьших привилегий (Principle of Least Privilege) требует, чтобы административные задачи выполнялись с помощью утилиты runas при входе в систему (регистрации) с клиентского компьютера (после установки соответствуюших инструментов) в качестве рядового пользователя.
Для настройки аутентификации для входящих сообщений выполните следующие действия:
Откройте Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Servers\Server01\ Protocol s\S MT P.
Щелкните правой кнопкой SMTP_serverl, а затем щелкните Properties (Свойства). (Обратите внимание, что дополнительный виртуальный сервер SMTP_serverl был создан в ходе лабораторной работы главы 9.)
На вкладке Access (Доступ) щелкните Authentication (^тентификаиия) под Access Control (Управление доступом).
Теперь можно выбрать метод (или методы) аутентификации. При выборе Basic Authentication (Базовая аутентификация) можно указать доменное имя Windows пли принять предлагаемое по умолчанию значение. Предлагаемый по умолчанию домен отличается от домена виртуального SMTP-сервера. НЕ устанавливайте флажок Requires TLS Encryption (Требует шифрования TLS) до тех пор, пока у вас не будет необходимого сертификата и шифрования (см. следующее упражнение). На рис, 10-6 представлена страница Authentication (Аутентификация).
Рис. 10-6. Страница Authentication
6, Щелкните ОК. Снова щелкните ОК для закрытия окна свойств SMTP_serverl.
Упражнение 2. Настройка TLS-шифрования
Для того чтобы требовать TLS-шифрованис на виртуальном сервере、у вас должны быть соответствующие сертификаты м указан вариант TLS Encryption. Далее имеется возможность установить стойкость шифрования.
Примечание Вы можете потребовать, чтобы все клиенты использовали TLS-шифрование при подключении к виртуальному SMTP-серверу. Это повысит безопасность соединения, но это не относится к аутентификации* Для разрешения TLS-тифрования на виртуальном сервере необходимо создать пару ключей и настроить сертификаты ключей на Exchange-сервере, на котором выполняется SMTP-служба. Это можно еде- пать с помощью IIS. После этого клиенты могут использовать TLS для шифрования сеанса с Exchange, а следовательно, всех отправляемых сообщений. Exchange также может использовать TLS для шифрования сеансов с удаленными серверами. Если виртуальный сервер работает в Интернете, требование TLS-шифрования для входящих соединений не рекомендуется. Лишь некоторые из этих соединений будут поддерживать TLS, а остальные пользователи не смогут связаться с вашим сервером. В большинстве случаев необходимо шифровать почтовое сообщение, а не SMTP-канал. Протокол TLS предназначен для SMTP соединений тина сточка-точка» во внутренних или расширенных корпоративных сетях, где обе стороны знают, что другая сторона также поддерживает TLS.
SSL и TSL
SSA (Secure Sockets Layer) — это протокол связи, предоставляющий службы криптографии на основе общедоступных ключей для обеспечения зашиты информации в общедостугпньгх сетях. Он был предназначен для установления защищенного канала связи, в котором шифруется критическая информация, такая как номера кредитных карт. Для создания нового протокола, известного как TLS (Transport Layer Security), группа IETF (Internet Engineering Task Force) объединила SSL с другими протоколами и методами аутентификации.
Для включения, определения н настройки TLS-шифрования выполните следующие действия:
Откройте Exchange System Manager,
Перейдите к Administrative Group$\Firs【Administrative Group\Servers\Scrver01\ Protocols\SMTP.
Щелкните правой кнопкой SMTP_serverl} а затем шелкните Properties (Свойства).
Для установки новых сертификатов и управления установленными сертификатами для виртуального SMTP-сервера щелкните Certificate (Сертификат) на вкладке Access (Доступ) в разделе Secure Communication (Безопасная связь).
Завершите работу с мастером Web Server Certificate Wizard.
Примечание Завершить работу мастера и немедленно получить сертификат можно только б том случае, если ScrverOI настроен как корневой центр сертификации предприятия. В противном случае вы сохраняете запрос в файл, который для получения сертификата необходимо отправить в центр сертификации.
6* На вкладке Access (Доступ) окна свойств SMTP_senerl Properties (Свойства SMTP_ serveri) щелкните Authentication (Лутентификаиия).
Установите флажок Requires TLS Encryption (Требует шифрования TLS). Установить этот флажок можно, только если указан способ Basic Authentication (Базовая аутен- тификания).
Щелкните ОК.
В Secure Communication (Безопасная связь) щелкните Communication (Связь).
Ю. В Security (Безопасность) установите флажок Require Secure Channel (Потребовать безопасный канал).
Установите флажок Require 128-bit Encryption (Потребовать 128-битное шифрование) если вам необходим этот уровень шифрования. Страница Security (Безопасность) представлена на рис. L0-7.
Рис. 10-7. Страница Security
12+ Щелкните ОК.
Еще раз щелкните ОК для закрытия окна SMTP_server( Properties (Свойства SMTP_ serveri).
Упражнение 3. Ограничение возможности отправки Иинтернет-почты
В этом упражнении вы укажете пользователей, которым запрещено отправлять Интернет-почту Имеется возможность указать либо группу; либо отдельных пользователей.
Внимание^ Для выполнения этой лабораторной работы обязательным является наличие в вашей организации коннектора Интерн^п-почты (Internet mail connector). Если его нет, то его необходимо создать, выполнив упражнение «Создание и настройка SMTP-коннектора^, рассмотренное ранее в этой главе.
Откройте Exchange System Manager и перейдите к Administrative Groups'Firsi Administrative Group\Routing Groups\First Routing Group\Connectors.
В панели деталей щелкните правой кнопкой General SMTP Connector, а затем шелкняте Properties (Свойства).
На вкладке General (Общие) диалогового окна SMTP Connector Properties (Свойства коннектора SMTP) щелкните Delivery Restrictions (Ограничения доставки).
На вкладке Delivery Restrictions (Ограничения доставки) в панели Reject Messages From (Отвергать сообщения от) щелкните Add (Добавить).
В поле Select Recipient (Выбрать получателя) введите имена пользователей, которым вы хотите установить ограничение. Для разделения имен пользователей используется точка с запятой, например: т.Alexander; 5.alexander; /л.alien; n.anderson. Щелкните OK.
Щелкните ОК в диалоговом окне SMTP Connector Properties (Свойства коннектора SMTP).
Добавленные имена пользователей представлены на рис. [0~8.
Рис* 10*8. Добавление пользователей «с запрещением»
Примечание В последующих трех упражнениях по настройке открытой трансляции используется дополнительный виртуальный SMTP-сервер, созданный при рассмотрении главы 9. Однако эти упражнения могут быть выполнены с использованием виртуального сервера по умолчанию: ServerO 1 или Serve「02,
Упражнение 4. Предотвращение открытой трансляции
По умолчанию открытая трансляция отключена. Однако могли аозникнуть ситуации, при которых потребовалось разрешить ее, а теперь необходимо отключить.
Откройте Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Scrvers\Server01\Proto- cols\SMTP.
Щелкните правой кнопкой SMTP_swr\“l, а затем шелкните Properties (Свойства).
На вкладке Access (Доступ) щелкните Relay (Ретрансляция). Появятся параметры Access Cootrol (Управление поступом).
В диалоговом окне Relay Restrictions (Ограничения ретрансляции) убедитесь, что для тех компьютеров, которые могут транслировать электронную почту, установлен флажок Only The List Below (Только следующий список) н что этот список пустой*
Сбросьте флажок Allow All Computers Which Successfully Authenticate lb Relay, Regardless ОГ The List Above (Позволить ретрансляцию всем компьютерам, прошедшим аутентификацию, независимо от предыдущего списка). Этот флажок должен быть всегда сброшен, если только с этим виртуальным сервером не используются POP3- и 1МАР4- клненты. Диалоговое окно Relay Restrictions (Ограничения ретрансляции) представлено на рис. 10-9.
Рис. 10-9» Диалоговое окно Relay Restrictions
Щелкните ОК.
Еще раз щелкните ОК для закрытия диалогового окна SMTP_serverl Properties (Свойства SMTP_senerl)*
Внимание! Если установлен вариант Ail Except Tlie List Below (Все, кроме следующего списка) и в качестве способа аутентификации выбран анонимный доступ, то любой компьютер в Интернете, не входящий в список, сможет транслировать электронные сообщения через этот виртуальный сервер. Такая ситуация называется анонимной трансляцией (anonymous relay) и может привести к тому, что неавтаризированные пользователи смогут транслировать через ваш сервер спам и прочие нежелательные сообщения. Кроме того, обработка анонимной трансляции может быть нарушением правил обслуживания вашего Интернет-провайдера.
Упражнение 5. Перекрытие настроек трансляции виртуального SMTP-сервера путем настройки SMTP-коннектора
В этом упражнении производится разрешение SMTP-трансляции как для пользователей, прошедших аутентификацию, так и для неуполномоченных пользователей. Это выполняется путем настройки SMTP-коннектора на перекрытие настроек трансляции виртуального SMTP-ссрнера.
Внимание! Дня выполнения этого упражнения обязательным является наличие в вашей организации коннектора Интернет-почты ((nternet mail connector). Если его нет, то его необходимо создать, выполнив упражнение «Создание и настройка SМТР-коннектора»э рассмотренное ранее в этой главе.
Откройте Exchange System Manager перейдите к Administrative Groups\First Administrative Group\Routing Gronps\First Routing GroupXConnectors. после чего разверните Connectors (Коннекторы).
В дереве консоли щелкните правой кнопкой General SMTP Connector и щелкните Properties (Свойства).
На вкладке Address Space (Адресное пространство) установите флажок Allow Messages То Be Relayed То These Domains (Разрешить ретрансляцию сообщений в эти домены), а затем щелкните ОК* Щелкните ОК, когда получите предупреждение о том, что операция ведет к перекрытию ограничений трансляции по умолчанию на виртуальном SMTP-сервере.
Примечание В последующих двух упражнениях имитируется ситуация, когда Exchange- организация подключается к ISP посредством ком мути руемого соединения по требованию (demand-dial connection) и настраивается сервер Exchange Server 2003 на извлечение электронной почты с сервера Интернет-провайдера. Если вы хотите проверить эту настройку «в действительности», то вам понадобятся два сервера Exchange Server 2003 в различных доменах с модемами» соединенными телефонной линией. Однако это упражнение можно выполнить и без такой проверки.
Упражнение 6. Подключение к Интернету с помощью
Routing and Remote Access
В этом упражнении на сервере ServerO2 настраивается коммутируемое соединение по требованию. Из соображений безопасности для доступа в Интернет обычно используется front-end-сернер. Невозможно выполнить это упражнение, если на Server02 нет модема. Если модем не установлен, то вы сможете выполнить упражнение 7 для практики, но у вас не будет возможности извлекать почту через коммутируемое соединение по требованию.
Откройте консоль Routing and Remote Access на ServerO!, раскройте Server02 и щелкните правой кнопкой Ports (Порты). В качестве порта должен быть выведен модем, установленный на Server02.
Щелкните правой кнопкой этот порт, а затем шелкните Properties (Свойства).
В диалоговом окне Port Properties (Свойства порта) шелкните Configure (Настроить), установите флажок Demand-Dial Routing Connections (Inbound And Outbound) (Марш- рутмзпинА соединений по требования (входящих и исходящих)), а затем щелкните ОК.
Для создания интерфейса соединения по требованию и настройки его на использование модема для коммутируемого доступа к Интернет-провайдеру необходимо выполнить следующие действия:
а Щелкните правой кнопкой сервер, убедитесь, что флажок router (маршрутизатор) находится в состоянии on и что установлены LAN (ЛВС) и Demand Dial Routing (Маршру-тизация по требованию), после чего щелкните ОК.
□ Щелкните правой кнопкой Routing Interfaces (Интерфейсы маршрутизации), а затем щелкните New Demand Dial Interface (Новый интерфейс по требованию).
Добавьте сетевой маршрут по умолчанию, использующий только что созданный интерфейс соединения по требованию.
Упражнение 7. Настройка Exchange Server 2003 на извлечение электронной почты с другого сервера с помощью команды etrn
В этом упражнении сервер Scrver02 настраивается на извлечение электронной почты с другого сервера.
Внимание! Для выполнения этого упражнения обязательным является наличие в вашей организации коннектора Интернет-почты (Internet mail connector). Если его нет, то его необходимо создать, выполнив упражнение «Создание и настройка SMTP-коннектора», рассмотренное ранее в этой главе.
Откройте Exchange System Manager, перейдите к Administrative Groups\First Administrative Group\Routing Groups\First Routing Group\Connectors, а затем разверните Connectors (Коннекторы).
В дереве консоли щелкните правой кнопкой General SMTP Connector и щелкните Properties (Свойства).
На вкладке Advanced (Дополнительно) щелкните Request ETRN/TURN From Different Server (Запросить ETRN/TURN у другого сервера). В поле Server (Сервер) введите ISPSERVER、а затем шелкните ОК.
Перезагрузите Server02.
Закрепление материала
Ниже представлены вопросы* предназначенные для закрепления ключевой информации этого занятия. Если вы не сможете ответить на вопрос, повторно изучите материал занятия и попробуйте снова ответить на этот вопрос. Ответы на вопросы представлены в разделе «Вопросы и ответы» в конце главы
Вы администрируете сервер Exchange Server 2003, который подключается к поставщику услуг Интернета (ISP) по коммутируемому каналу. Вы хотите, чтобы ваша электронная почта хранилась на серверах 1SP до тех пор, пока нс подключится ваш Exchange-сервер. После этого все письма, находящиеся в очереди, должны быть доставлены на ваш Exchange-сервер. Какнм образом настраивается данный режим работы?
Необходимо, чтобы структура Exchange Server 2003 обладала возможностью узла диспетчеризации (smart-узла). Как должен быть настроен виртуальный сервер для обеспечения этих возможностей и как реализовать такую настройку?
3* Вы администрируете структуру Exchange Server 2003 в школе. Преподавательскому составу разрешено отправлять Интернет-почту а учащимся — нет. Как предотвратить возможность отправки/полу^гения учащимися Интернет-почты?
Как предотвратить возможность рассылки спама через вашу Exchange-структуру?
Настройкой обратного DNS-поиска.
Разрешением анонимной аутентификации.
Отключением транзитной пересылки (открытой трансляции) инеем.
Предотвращение возможности доступа к вашей организации IMAP4- и POP3- клиентов.
Резюме
■ На виртуальном SMTP'CepBepe можно настраивать как входяшие, так и исходящие соединения.
■ За счет аутентификации, шифрования и обратного DNS-поиска можно обеспечить защиту SMTP-трафнка.
■ При базовой аутентификации пароль пользователя передается в виде открытого текста.
■ TLS помимо имени пользователя и пароля шифрует тело сообщения.
■ Обратный DNS-поиск помогает предотвратить спуфинг.
■ Для предотвращения возможности рассылки спама с использованием вашей организации Exchange Server 2003 выполняется запрет или ограничение открытой трансляции.
■ Получение или отправку через Интернет для определенных пользователей и групп можно путем настройки SMTP-коннектора.
■ При pull-отношении один компьютер помешает сообщения в очередь, а другой извлекает их с помощью команд turn или etrn.
・ Для обеспечения pull-отношсния можно использовать SMTP-коннектор и настроить его на извлечение элекпронной почты с удаленного SMTP-сервера через определенный интервал.
■ Для определения места возникновения неполадок при доставке сообщения можно использовать утилиты nslookup и telnet.
Занятие 3. Настройка взаимодействия с другими SMTP-системами обмена сообщениями
Exchange Server 2003 можно настроить на работу с другими системами обмена сообщениями, использующими для доставки -протокол SMTR Если необходимо настроить взаимодействие с системами, в которых не предоставляются коннекторы, то для этих систем необходимо приобрети шлюзы сторонних производителей. В качестве альтернативы, если ваша организации используется Exchange Server 5*5 и имеется коннектор Exchange Server 5.5, то Exchange-организаиию можно использовать в смешанном режиме.
В случае использования Microsoft Mail с помощью Exchange System Manager в Exchange Server 2003 можно настроить сервер вашей организации, на котором используется Exchange 2000 Server, в качестве инициатора синхронизации каталогов либо сервера синхронизации каталогов.
Exchange Server 2003 интегрируется с IIS для обеспечения эффективной и безопасной среды, позволяющей пользователям» использующим Интернет-клиентов, обращаться к Exchange-данным локально или удаленно. Эта особенность позволяет настраивать взаимодействие Exchange с системами обмена сообщениями, использующими для доставки протокол SMTP. Для изменения настроек форматирования и ограничения размера сообщений по умолчанию можно использовать глобальные настройки, применяемые ко всем почтовым ящикам и виртуальным серверам в вашей организации.
Для обеспечения расширенных функциональных возможностей HTTP-клиентов по извлечению н управления информацией в веб-системах хранения Exchange Server 2003 поддерживает HTTP (Hypertext Transfer Protocol) и WebDAV (叫6 Distributed Authoring and Wrsioning). Также имеется возможность настроить виртуальный HTTP-сервер на поддержку OWA и позволить пользователям просто и эффективно обращаться к электронной почте, расписанию, совместно используемым приложениям и любому содержанию в общей папке с помощью веб-браузера.
Пользователи с IMAP4-клиентом могут обращаться к почте в своих почтовых ящиках, не загружая весь почтовый ящик на определенный компьютер. Exchange использует NNTP (Network News Transfer Protocol), чтобы позволить пользователям Microsoft Outlook участвовать в оперативных дискуссиях по Интернету. Exchange также позволяет пользователям, работающим с клиентскими приложениями, поддерживающими NNTP, обращаться к общим папкам групп новостей на компьютере* использующем Exchange.
Exchange поддерживает POP3 для того, чтобы РОРЗ-пользователи могли обращаться к своим ящикам для входящих сообщений. Однако ограничения POP3 не позволяют РОРЗ-пользователям обращаться к другим общим или частным папкам. Кроме того, POP3 не предназначен для обеспечения всестороннего манипулирования почтой на сервере. И хотя сообщения могут оставаться на сервере, почта обычно загружается на компьютер пользователя, а затем удаляется.
IMAP4- и РОРЗ-коиенты используют для доставки почты SMTP, Из предыдущего занятия вы знаете, что Exchange Server 2003 можно настроить на трансляцию почты для этих клиентов.
Изучив материал этого занятия, вы сможете:
/ устанавливать в Exchange Server 2003 глобальные настройки для всей системы;
/ объяснить, как SMTP взаимодействует с виртуальным НТТР-сервром для обеспечения реализаций веб-хранения;
/ описать, как Exchange Server 2003 поддерживает OWA;
/ объяснить, как настраивается NNTP для обеспечения оперативных (online) дискуссий и обращения к общим папкам групп новостей;
/ описать» как Exchange Server 2003 поддерживает IMAP4- и РОРЗ-клиенты.
П родолжител ьность занятия — около 60 минут.
Примечание В ходе этого занятия объясняется, как Exchange Server 2003 поддерживает HTTP-, IMAP4-, NNTP-, POP3- и OWA-клиенты. Здесь не рассматривается подробная установка и настройка соответствующих виртуальных серверов. Это сделано в главе 9.
Установка глобальных настроек
Глобальные настройки Exchange Server 2003 позволяют задавать настройки в масштабе всей системы. Эта возможность полезна, например, в тех случаях, когда для большинства пользователей необходимы одинаковые соглашения по сообщениям либо одинаковые ограничения доставки. Имеется возможность определить форматирование и ограничение размера сообщения по умолчанию, которые могут применяться ко всем почтовым ящикам и виртуальным серверам.
В особых ситуациях имеется возможность перекрыть глобальные настройки путем конфигурирования индивидуальных Exchange-объектов с отличающимися настройками. Глобальные настройки применяются только в тех случаях, когда на уровне виртуального сервера или отдельного почтового ящика настройки не устанавливались.
Виртуальный SMTP-сервер не будет принимать сообщения от клиента или другого сервера, если размер этого сообщения превосходит ограничение размера сообщений. Если сообщение принято, то виртуальный SMTP-сервер попытается доставить его во все почтовые ящики получателей. Только после этого вступают в силу глобальные настройки. Все понтовые ящики получателей, чьи ограничения не превышены, получат это сообщение (ограничения почтовых ящиков могут устанавливаться глобально или для каждого пользователя).
При отправке/получеиии сообщений от Интернет-клиентов используются Интернет» форматы. Когда М4Р/-клиенты (Messaging Application Programming Interface» MAPI) посылают сообщения, эти сообщения преобразуются из КТГ-формата (Rich Text Format) в MIME. Добавление MIME-типов или MJМЕ-содержания, отправляемого/получаемо- го по электронной почте, в список MIME-типов помогает получателю правильно открыть и воспроизвести вложение.
Узел домена позволяет создавать набор рекомендаций для SMTR используемых при отправке сообщений на определенный удаленный домен. Напрнмер, если имеются MAPI-клиенты, регулярно отправляющие сообщения компании-партнеру, то можно создать политику для SMTR которая будет использоваться при отправке сообщений на партнерский домен. Эта политика позволяет указывать формат, необходимый партнеру для просмотра ваших сообщений. При добавлении узла домена создается новый набор SMTP-рекоменлдаций, используемых при работе с удаленным доменом. Это не приводит к созданию нового домена в организации.
При создании узла домена можно указывать формат сообщения, который должен использоваться протоколом SMTP при отправке электронной почты. Можно, например, вместо MIME выбрать UNIX-U N 1Х-кодирование (uucncode).
Установка параметров сообщения по умолчанию
Сообщения, отправленные Интернет-клиентами, хранятся в М】МЕ-формате, и при прочтении клиентами никакого преобразования сообщения не выполняется. SMTP преобразует сообщения, отправленные MAPI-клиентами (из RTF в MIME). Имеется возможность определить, как SMTP преобразовывает исходящие сообщения, отправляемые MAPI-клиентом Интернет-клиенту, Для обеспечения гарантированно корректного преобразования содержания можно связать тип МIМЕ-содержания с расширением. Кроме того, можно указать, как преобразовывать все сообщения, посылаемые на определенный домен.
Для установки параметров Интернет-сообщения по умолчанию вы связываете MIME- типы с расширением, а параметры по умолчанию задаете созданием новой SMTP-политики, определением форматов сообщений и установкой дополнительных параметров, таких как сообщение об отсутствии в офисе, автоматический ответ и подтверждение доставки. Более подробно эти процедуры будут рассмотрены далее.
Установка параметров почтового ящика по умолчанию
Можно глобально установить размер сообщений и ограничения получателя на почтовые ящики в организации с помощью вкладки Defaults (Умолчания) в Exchange System Manager. Ограничение размера сообщений сберегает системные ресурсы, поскольку объемные сообщения обрабатывать сложнее, что может стать «узкнм местом» в механизме маршрутизации Exchange. Сообщение с множеством получателей также может обременять систему поиском каталогов и соединений доставки. Ограничения размера сообщения могут применяться к входящим или исходящим сообщениям либо ко всем сразу. Ограничения получателя применяются ко всем сообщениям.
Важно! Все глобальные настройки ограничения доставки могут перекрываться индивидуальными настройками для каждого почтового ящика.
Может возникнуть желание выделить почтовый яшик для учетной записи postmaster. Эта учетная запись будет появляться в строке From (От) всех NDR-сообщений, отправляемых вашей организацией. Следовательно^ всякий раз, когда кто-либо отвечает на NDR, или сообщает об ошибке доставки, или ищет помощи в разрешении ситуации, он будет связываться с этой учетной записью.
Учетная запись Postmaster использует псевдоним, который будет откликаться на действительный SMTP адрес почтовой почты, такой как po3tmaster@domain .сот. В Act he Directory Users And Computers (Active Directory — пользователи и компьютеры) выделите учетную запись пользователя, на которого возложены эти обязанности, в диалоговом окне Properties (Свойства) 9To航 учетной записи перейдите на вкладку E-Mail Addresses (Адреса электронной почты). После этого щелкните New (Создать), SMTP Address (Адрес SMTP) и укажите псевдоним в поле E-Mail Address (Адрес электронной почты) на странице Internet Address Properties (Свойства адреса Интернета).
Поддержка НТТР-клиентов
HTTP ——это протокол, используемый в Всемирной Сети для определения формата и передачи сообщений, а также для определения, какие действия должны выполнять веб-серверы и браузеры при получении различных команд. WebDAV — это расширение к версии 1.1 протокола HTTR WbbDAV позволяет HTTP-клиенту извлекать и управлять информацией, содержащейся в информационном хранилище (Information Store).
Exchange Server 2003 поддерживает HTTP и V^bDAV для обеспечения следующих функций общего доступа к данным:
Доступ к документам HTTP и 佻bDAV поддерживают совместную среду (collaborative environment), в которой пользователи могут редактировать документы, защищать данные, накапливать ресурсы в обшей папке, перемещать и копировать файлы, а также изменять сведения о файлах.
Доступ к электронной почте HTTP и WebDAV могут использоваться для доступа к почтовым ящикам и сообщениям, извещения пользователей о поступлении новой почты, а также позволяют пользователям перемещать, копировать или удалять почту на сервере,
Доступ к приложениям HTTP и A^febDAV являются стандартизированными протокола ни уровня приложений. Обращение к почтовым яшикам и общим папкам осуществляется по уникальному URL (Uniform Resource Locator). Это позволяет пользовательским приложениям извлекать данные непосредственно из Information Store.
Примечание Виртуальный HTTP-сервер п。умолчанию создается IIS, и администрировать этот сервер необходимо с помощью 1IS* Однако при создании дополнительных виртуальных HTTP-серверов в Exchange их можно (и нужно) администрировать с по^ мощью Exchange System Manager.
Для обеспечения множества различных сценариев сотрудничества можно создавать дополнительные виртуальные НТТР-сервсры. Например, на виртуальном сервере по умолчанию вы захотели использовать аутентификацию Integrated Windows Authentication, но помимо зтого, предоставить пользователям за пределами организации информацию о вашей компании. В этой ситуации можно разрешить анонимный доступ к отдельному виртуальному НТТР-серверу.
По умолчанию, после завершения стандартной установки и настройки пользователи могут обращаться к частным почтовым ящикам с помощью URL в форме http:// sen}er_name/exchange/mai/box_name. При создании нового хранилища почтового ящика ему автоматически будет назначен другой URL. Этот URL будет основан на имени виртуального каталога.
Виртуальные каталоги
Виртуальные каталоги обеспечивают пользователям, связывающимся с виртуальным НТТР-сервером, доступ к общим папкам и почтовым ящикам. Для каждого создаваемого виртуального сервера ны должны определить один виртуальный каталог (virtual directory) в качестве корневого каталога сервера. Виртуальный каталог используется для публикации общей папки или почтовых ящиков в SMTP-домене. Имеется возможность создавать дополнительные виртуальные каталоги (для публикации содержания), не входящие в собственную структуру каталогов сервера. Виртуальные каталоги позволяют пользователям обращаться к общей папке и почтовому ящику, в локальном или удаленном домене.
При создании виртуального каталога доступ к содержимому общей папки обеспечивается за счет URL, имеющего форму http://virtua!server/publici где virtualserver —— это DNS-имя виртуального сервера. К опубликованному каталогу можно также обращаться с помощью Microsoft Internet Explorer или посредством любого клиента, поддерживающего протоколы HTTP и WebDAV промышленного стандарта. Для создания и сохранения документов непосредственно в HTTP-каталоге можно использовать Microsoft Office. Это возможно благодаря функции %b Folders, которая позволяет работать с файлами и папками, находящимися на веб-сервере, так же, как если бы они были представлены в Му Computer или Windows Explorer.
Outlook Web Access
Для обеспечения поддержки OWA в ходе процесса установки Exchange Server 2003 устанавливается н настраивается виртуальный HTTP-сервер. 0WA можно использовать для настройки Exchange таким образом, чтобы другие пользователи могли с помощью веб-браузера обращаться к электронной почте, календарю, совместно используемым приложениям и любому содержанию в хранилище общей информации. Для того чтобы пользователи смогли обращаться к OWA нз Интернета, сервер Exchange Server 2003 должен иметь соединение с Интернетом, общедоступный IP-адрес и зарегистрированное доменное имя.
Отключение 0WA для Exchange организации осуществляется путем остановки виртуального HTTP-сервера. Его также можно отключить для отдельных пользователей с помощью диалогового окна свойств этих пользователей, открываемого из консоли Active Direciory Users And Computers (Active Directory — пользователи и компьютеры). На вкладке Exchange Features (Функции Exchange) необходимо выделить Outlook Web Access, а затем щелкнуть Disable (Отключить) (рис. 10-10).
Поддержка IMAP4-клиентов
IMAP4 позволяет клиентам получить доступ к сообшениям в личных и обших папках. ТМАР4-клиенты могут работать с письмами в своем почтовом ящике Exchange, не загружая весь почтовый ящик на свой компьютер. Один клиент мо*ст обращаться к нескольким почтовым ящикам для извлечения определенных сообщений или частей сообщений (например, присоединенных к письму файлов). Кроме зтого,【МАР4~клн- енты могут осуществлять поиск в почтовом ящике и сохранять флаги для отметки прочитанных файлов.
Рис. 10-10. Отключение OWA для отдельного пользователяРис. 10-10. Отключение OWA для отдельного пользователя
Рис. 10-10. Отключение OWA для отдельного пользователя
Рис. 10-10. Отключение OWA для отдельного пользователя
Подготовка к экзамену Протоколы 1МАР4 и POP3 позволяют читать, но не отправлять электронную почту. Отправка сообщений осуществляется с помощью SMTP. Поэтому можно сразу отбрасывать ответы на экзаменационные вопросы, в которых IMAP4 или POP3 используются н качестве метода доставки электронной почты.
На одном компьютере можно создать несколько виртуальных 1МАР4-серверов для обслуживания нескольких локальных почтовых доменов и для работы с сообщениями в разных режимах. Вы можете настроить виртуальный сервер IMAP4 на предоставление или запрет доступа для определенных компьютеров» групп компьютеров или доменов. Можно предоставить иля запретить доступ одиночному компьютеру по его IP-адресу (также можно переопределить доступ к 1МАР4 на уровне пользователей). Группе компьютеров доступ может быть предоставлен или запретен по их адресу подсети и маске. Также можно контролировать доступ для целого домена, пользуясь его именем.
Настройка 1МАР4-клиентов
Для того чтобы 1МАР4-клиент смог подключиться к серверу, нужно предварительно для этого клиента создать в AD пользователя с почтовым ящиком. Кроме этого на IMAP4- клиенте нужно указать имя и пароль для заведенной учетной записи.
При работе в сети, содержащей серверы интерфейса и серверы хранилищ Exchange, нужно настроить URL, которым будут пользоваться пользователи для доступа к информации календаря (данный URL задается на вкладке Calendaring (Календарь) диалогового окна Properties (Свойства) для вашего сервера хранилищ). Exchange игнорирует настройки URL, которые делаются на серверах интерфейса.
Для настройки IМАР4-КЛиентоа нужно создать пользователь с почтовым ящиком, задать соответствующие имя и пароль на клиенте и установить параметры уровня пользователя. Эти процедуры буд? подробно описаны ниже.
Поддержка РОРЗ-клиентов
Протокол POP3 позволяет клиенту извлекать с сервера его письма (все или только определенное письмо). Клиенты POP3 имеют доступ только к своим почтовым ящикам с входящими сообщениями; они нс могут обратиться к другим общим или личным папкам. Протокол POP3 нс поддерживает полный набор манипуляций с находящимся на сервере письмом. В случае необходимости прочитанные сообщения могут оставаться на сервере, однако обычно письмо закачивается на клиентскую машину, после чего удаляется. POP3 не отсылает электронные письма — за это отвечает SMTR
Протоколы IMAP4 и POP3 являются межсетевыми протоколами сообщений, которые позволяют пользователям полу^шть доступ к электронной почте. Различие между этими протоколами состоит в том, что пользователи манипулируют своими сообщениями в разных местах. POP3 позволяет клиентам скачивать почту из их личных почтовых ящиков на сервере к себе на клиентский компьютер, где н происходит управление сообщениями. 1МАР4 позволяет клиентам управлять их электронной почтой непосредственно на сервере.
Вы можете настроить виртуальный сервер POP3 на предоставление или запрет доступа для определенных компьютеров, групп компьютеров или целых доменов. Можно предоставить или запретить доступ одиночному компьютеру по его 1Р~адресу (также можно переопределить доступ к POP3 на уровне пользователей), ipynne компьютеров доступ может быть предоставлен или запрещен по их адресу подсети и маске* Также можно контролировать доступ для целого домена, пользуясь его нменсм.
Сообщения, посланные MAPI-клиентом, при чтении РОРЗ-клцентом преобразуются из формата RTF в формат MIME или uuencode.
Вы можете просматривать текущий список подключенных пользователей, отключать пользователей из этого списка, не нарушая работу службы для других пользователей, а также запрещать новые попытки соединения.
Настройка РОРЗ-клиентов
Для того чтобы РОРЗ-клиент смог подключиться к серверу, нужно предварительно для этого клиента создать в AD пользователь с почтовым ящиком. Кроме этого на РОРЗ- клиенте нужно указать имя н пароль для заведенной учетной записи.
При работе в сети, содержащей серверы интерфейса н серверы хранилищ Exchange, нужно настроить URL, которым будут пользоваться пользователи для доступа к информации календаря (данный URL задается на вкладке Calendaring (Календарь) диалогового окна Properties (Свойства) для вашего сервера хранилищ). Exchange игнорирует настройки URL, которые делаются на серверах интерфейса.
Замечание При работе в сети, содержащей серверы интерфейса и серверы хранилищ Exchange, нужно настроить URL для доступа пользователей к информации календаря (данный URL задается на вкладке Calendaring (Календарь) диалогового окна Properties (Свойства) для вашего сервера хранилищ)» Exchange игнорирует настройки URL, которые делаются на серверах интерфейса. Если РОРЗ-клиснты пользуются календарем, то нужно настроить этих клиентов таким образом, чтобы копии их сообщений оставались на сервере.
Для настройки POP3-клиентов нужно создать пользователь с почтовым ящиком и задать соответствующие имя и пароль на РОРЗ-клиснте. При необходимости вы можете также установить параметры уровня пользователя. Данные процедуры будут подробно описаны ниже.
Установка для клиента разрешения на отсылку почты
Виртуальный SMTP-сервер пересылает информацию между Exchange -серверам и. Для того чтобы разрешить IMAP4- или РОРЗ-клиентам посылать сообщения с помощью SMTP, вам нужно настроить виртуальный SMTP-сервер на передачу сообщений для данных клиентов. Эта процедура описана в занятии 2 данной главы.
Помержка NNTP-клиентов
Протокол NNTP определяет набор клиентских и серверных команд, которые используются для доступа к группам новостей. Exchange Server 2003 использует виртуальные серверы NNTR чтобы обеспечить пользователям Outlook возможность принимать участие в телеконференциях через Интернет, Можно также разрешить пользователям, которые пользуются программами, поддерживающими NNTR доступ к находящимся на Exchange-серверах общим папкам групп новостей. Пользователи могут читать н посылать сообщения в группы новостей (телеконференции) NNTP, которые реализованы в Exchange в виде общих папок. Сообщения в группах новостей могут быть реплицированы на узлы общемировой системы серверов новостей Usenet посредством источников новостей (newsfeeds).
Служба NNTP в Windows 2003 разработана для поддержки изолированного сервера новостей, что упрощает создание групп новостей. При установке Exchange Server 2003 служба NNTP расширяется, позволяя виртуальному NNTP-сервсру взаимодействовать с другими серверами новостей через источники новостей. Служба NNTP взаимодействует с внешними NNTP-серверами для обеспечения вашим пользователям доступа к популярным группам новостей Usenet.
С помощью виртуального сервера NNTP можно централизованно управлять службами групп новостей, контролируя аутентификацию и пользовательские подключения. Для обслуживания на одном Exchange-сервере нескольких доменов можно создать дополнительные виртуальные серверы NNTP. Также можно создать отдельно внешний и внутренний виртуальные серверы, настроив иа них различные режимы аутентификации.
Для того чтобы в группу новостей попадали только проверенные (санкционированные) сообщения, этой группе нозостей можно назначить модератора. Сообщения, посылаемые в моделируемую группу новостей, не будут зарегистрированы до тех пор, пока модератор не одобрит их.
Примечание Используемый по умолчанию виртуальный NNTP-сервер и служба NNTP по умолчанию отключены. Для настройки сервера по умолчанию создайте дополнительный сервер, настройте группы новостей и определите подчиненные серверы. После этого вы должны в консоли Services (Службы) включить и запустить службу NNTR
Лабораторная работа. Настройка сообщений и клиентов
В ходе этой лабораторной работы вы определите формат расширений писем, создадите политику для SMTR которая будет применяться при отправке писем, а также настроите IMAP4- и РОРЗ-клиенты. Для того чтобы настроить клиенты, нужно создать пользователи с почтовыми ящиками, поэтому для удобства данное упражнение включено в эту лабораторную работу, хотя пользователи уже были созданы на лабораторных работах в предыдущих главах.
Упражнение 1. Связь MIME-типов с расширениями
Когда SMTP отсылает MAPI-сообщение клиенту Интернета, то по расширениям присоединенных к письму файлов определяется тип содержимого этих файлов (эта информация сохраняется в заголовке письма). Вы можете связать новые расширения файлов с определенным типом содержимого. Также можно определить свои собственные MIME- типы.
Для привязки MIME-типа к определенному расширению выполните следующие действия:
Откройте Exchange System Manager.
В дереве консоли дважды щелкните мышью на Global Settings (Общие параметры).
Щелкните правой кнопкой мыши на Internet Message Formats (Форматы межсетевых сообшений), а затем щелкните Properties (Свойства).
На вкладке General (Общие) дважды щелкните мышью тип содержимого.
Для изменения типа содержимого выберите новый тип из раскрывающегося списка 1Уре (Tim),
Для изменения расширения введите новое расширение файла в поле Associated Extension (Назначенное расширение). Перед расширением не нужно ставить знак точку
Для создания связи между новым типом содержимого с расширением выберите новый тип содержимого из раскрывающегося списка Туре (Тип) и введите новое расширение файла в поле Associated Extension (Назначенное расширение). Перед расширением не нужно ставить знак точку.
Нажмите ОК. Еще раз нажмите ОК, чтобы закрыть диалоговое окно Properties (Свойства).
Упражнение 2* Настройка параметров по умолчанию для сообщений
Вы можете создать политику для SMTR которая будет применяться при отправке сообщений в определенный домен. Данная политика позволяет задать формат, который будет использоваться получатся я \< и в этом домене для просмотра сообщений.
Для того чтобы установить параметры по умолчанию для определенного домена, вам ну*но создать новую SMTP-политику, задать для нее форматы сообщений и настроить дополнительные параметры.
Для того чтобы создать новую SMTP-политику для домена, выполните следующие действия:
L Откройте Exchange System Manager.
В дереве консоли дважды щелкните мышью на Global Settings (Общие параметры).
Щелкните правой кнопкой мыши на Internet Message Formats (Форматы межсетевых сообщений), выберите пункт New (Новый), а затем щелкните Domain (Домен).
Перейдите на вкладку General (Общие), введите в поле Name (Имя) название политики, а в поле SMTP Domain (Домен SMTP) — DNS-имя домена.
На вкладке Message Format (Формат сообщений) в разделе Message Encoding (Кодирование сообщений) выберите MIME или uuencode.
Если вы выбрали формат MIME, то нужно определить, как будут форматироваться сообщения. Для отображения только текста и замены трафики н активных ссылок текстовым представлением выберите Provide Message Body As Plain Text (Представлять тело сообщения в виде обычного текста). Для отображения графики и связей с другими документами выберите Provide Message Body As HTML (Представлять тело сообщения в виде HTML). Если вы не знаете точно, какой формат может прочесть клиент, выберите Both (Оба) для поддержки и обычного текста, и HTML.
Если вы выбрали формат uuencode, то можно выбрать режим поддержки клиентов Macintosh. Для использования Bin Нех (это похожая на uuencode схема кодирования для файлов Macintosh) выберите Use BinHex For Macintosh (Использовать BinHex для Macintosh).
Для поддержки сообщений, написанных на нескольких языках, выберите кодовую страницу из раскрывающихся списков MIME и Non-MIME в разделе Character Sets (Кодировки). Операционная система Windows 2003 использует кодовые страницы для чтения сообщений, содержащих несколько наборов символов. Данное диалоговое окно показано на рис. 10-11.
Рис. 10>1]. Настройка многоязычной поддержки
Перейдите на вкладку Advanced (Доп о л 11 иге льно).
Если вы хотите отправлять все сообщения в формате RTE то выберите ^Mways Use (Использовать всегда). Еслм же вы хотите кодировать сообщения в MIME с помощью HTML, то выберите Never Use (Не использовать никогда).
Если вы хотите отправлять текст в первоначальном виде без принудительных разрывов строк, то выберите Never Use in Message Text Word Wrap (Никогда не использовать перенос строк в тексте). Если же у ваших получателей ограничена область отображения сообщений или вы хотите вставить в текст разрывы строк, чтобы количество символов в строке не превышало определенного числа, то выберите Use At Column (Разрывать строки у столбца) и введите номер столбца.
Для извещения отправителя о том, что получателя нет на месте, выберите Allow Out Of Office Responses (Разрешить ответы «Нет на месте»).
Для изнещения отправителя о том, что его сообщение получено, выберите Allow Automatic Replies (Разрешить автоматические ответы).
Для доставки копии сообщения другому получателю выберите Allow Automatic Forward (Разрешить автоматическую переадресацию),
Для того чтобы разрешить отправителям из определенного домена SMTP получать отчеты о доставке почты, отосланной в вашу структуру Exchange, выберите Allow Delivery Reports (Разрешить отчеты о доставке).
Для того чтобы разрешить отправителям из определенного домена SMTP получать из вашей структуры Exchange сообщения о невозможности доставки почты, выберите Allow Non-Delivery Reports (Разрешить отчеты о невозможности доставки).
Для отображения имени отправителя в том виде, в каком он занесен в адресную книгу (а не в виде короткого псевдонима, используюшегося для маршрутизации писем), выберите Preserve Sender's Display Name On Message (Сохранять в сообщении отображаемое имя отправителя).
Нажмите ОК.
Упражнение 3. Создание пользователя с почтовым ящиком
П о л ьзовател ьски м и объектами типа почтовых яшиков управляет консоль Active Directory Users 力打4 Computers (Пользоватсли и компьютеры Active Directory). При установке Exchange System Manager на сервере Windows Server 2003 в стандартную консоль добавляется ряд расширений. Это позволяет заводить почтовые ящики Exchange для учетных записей пользователей.
Для (МАР4- и РОРЗ-клиентов вам нужно завести пользователи с почтовыми ящиками. Данная процедура повторяется всякий раз. когда 1ребуется завести такой пользователь. На самом деле, для создания пользователя в AD используется стандартная процедура. Если Exchange System Manager установлен, то для новых пользователей почтовые ящики будут заводиться по умолчанию.
Примечание В предыдущих главах дл〃 различных тестовых целей уже были созданы пользователи с почтовыми ящиками. Данная процедура приводится здесь для удобства, однако, если у вас уже имеются учетные записи пользователей с почтовыми ящиками, вы можете не заводить новые пользователи.
Для создания пользователя с почтовым ящиком выполните следующие действия: 1. Откройте консоль Active Directory Users And Computers (Пользователи и компьютеры Active Directory).
Щелкните два раза мышью на узле-домене в дереве консоли» щелкните правой кнопкой мыши на папке Users (Пользователи), наведите мышь на пункт New (Новый) и выберите пункт User (Пользователь),
Для создания учетной записи пользователя следуйте инструкциям мастера New Object User Wizard (Новый объект-пользователь). Обратите, что флажок Create Ап Exchange Mailbox (Создать почтовый ящик Exchange) установлен по умолчанию.
Упражнение 4. Настройка 1МАР4-клиента
С помощью предыдущей процедуры вы создали учетную запись пользователя с почтовым ящиком, которой могут пользоваться 1МАР4-клиенты. После этого вы вводите эту учетную информацию на 1МАР4-клиенте, чтобы он мог регистрироваться на сервере под данной учетной записью. Затем можно настроить параметры уровня пользователя для всех учетных записей, которым не подходят настройки сервера.
После создания хранилища для пользовательских сообщений (то есть почтового ящика пользователя) вам нужно направить клиент на соответствующий сервер и настроить информацию об учетной записи» под которой будет регистрироваться польз。- ватель. Данный процесс специфичен для разных 1МАР4-клиентов, однако все клиенты должны указывать следующую информацию:
Имя для учетной записи IMAP4 Это псевдоним пользователя в AD (например, d.hall).
Адрес электронной почты IMAP4 Это Интернет-адрес пользователя, который включает в себя псевдоним и имя домена (например, d, hall^tailspin toys. com).
Имя 1МАР4-сервера Здесь указывается имя Exchange-компьютера, на котором работает виртуальный 1МАР4-сервер, или DNS-запись 1МАР4-сервера интерфейса.
Имя SMTP-сервера Так как каждый Exchange-сервер содержит SMTP-сервер по умолчанию, то здесь можно указать то же самое имя компьютера, что и для виртуального 1МАР4-сервера.
Для определенных клиентов вам может понадобиться переопределить параметры, используемые сервером по умолчанию. Предположим» например, что большинство ваших IМАР4-клиентов могут интерпретировать HTML. Учитывая это, вы устанавливаете на сервере режим, при котором по умолчанию тело сообщений передается в формате HTML. Однако несколько IMAP4*клиентов не могут интерпретировать HTML. Для того чтобы обеспечить доставку этим пользователям сообщений в обычном текстовом формате, вы должны настроить 1МАР4-параметры на уровне пользователей.
Примечание Для управления несколькими режимами работы с сообщениями можно также на одном компьютере создать дополнительные виртуальные серверы. Данный вариант лучше подходит для большого количества клиентов с разными требованиями*
Для настройки 1МАР4-клиента и установки параметров на уровне пользователя выполните следующие действия:
Откройте консоль Active Direclory Users And Computers (Пользователи и компьютеры Active Directory).
Щелкните мышью Users (Полыонателн) в дереве консоли.
Щелкните правой кнопкой мыши на пользователе с почтовым ящиком в панели сведений и выберите пункт Properties (Свойства) в контекстном меню.
Перейдите на вкладку Exchange Features (Настройки Exchange) н щелкните IMAP4.
Щелкните Properties (Свойства). На рис. 10-12 показано диалоговое окно Properties (Свойства).
Рис. 10-12. Настройка параметров для (МАР4-пользователя
Сбросьте флажок Use Protocol Defaults (Использовать параметры сервера по умолчанию).
Теперь можно настраивать параметры для определенного пользователя (список доступных параметров приведен в табл. 10-11).
Нажмите ОК, а затем еще раз щелкните ОК для закрытия диалогового окна Properties (Свойства) со свойствами пользователя.
Табл. 10-11. Настройки IMAP4 уровня пользователя
Параметр
Описание
MIME Encoding
(М1 МЕ*кодирование)
MIME позволяет описать сообщение, состоящее из различных частей. Все 1МАР4-клиенты поддерживают MIME по определению. Возможные варианты:
Provide message body as plain text (Пре дета в.пять тело сообщения в виде обычного текста)
Provide message body as HTML (Представлять тело сообщения в виде HTML)
Both (Поддерживать оба варианта)
Default Character Set (Набор символов по умолчанию)
Exchange поддерживает многоязыковые сообщения с помощью кодовых страниц Windows, а не наборов символов Интернета, Для большинства яз ыков с у шествует однозначное соответствие между набором символов и кодовой страницей. Если для одной кодовой страницы существует несколько наборов символов, то Exchange использует тот нз них, который задан на вкладки Message Format (Формат сообщений)
Use Microsoft Exchange Rich Text Format (Использовать формат RTF)
Если данный параметр включен, то 1МАР4-клиенты будут получать сообщения в формате RTF. Все 1МАР4-клиенты получают информацию в виде вложений, Если IMAP4-клиент понимает RTE то прилагающийся файл откроется автоматически н отобразится в виде обычного сообщения. Если IMAP4- клиент не понимает Exchange RTE то получателю придется открывать прилагающийся файл вручную
Enable Fast Message Retrieval (Разрешить быстрое извлечение писем)
По умолчанию Exchange вычисляет точный размер каждого сообщения. Для увеличения скорости получения писем клиентами, которым не нужно знать точный размер сообщений, можно разрешить серверу пользоваться примерными размерами писем
Include All Public Folders When A Folder List Is Requested (Включать все общие папки при обработке запроса на создание списка папок)
По умолчанию Exchange в ответ на МАР4-команду list «»* выводит список всех обших папок. Для повышения производительности работы клиентов, испытывающих значительные задержки при выводе большого количества папок, можно включить режим, при котором будут выводиться только личные папки клиента
Упражнение 5. Настройка РОРЗ-клиента
Для POP3-клиента также нужно создать учетную запись пользователя с почтовым ящиком, в котором будут храниться сообщения этого клиента. После этого вы вводите эту учетную информацию на РОРЗ-клиенте, чтобы он мог регистрироваться на сервере под данной учетной записью. Затем можно настроить параметры уровня пользователя для всех учетных записей, которым не подходят настройки сервера*
Примечание Данное упражнение очень похоже на настройку 1МАР4-клиента< Однако имеются значительные различия в параметрах уровня пользователя, поэтому инструкции приведены в полном объеме.
После создания хранилища для пользовательских сообщений (то есть почтового ящика пользователя) вам нужно направить клиента на соответствующий сервер и настроить информацию об учетной записи, под которой будет регистрироваться пользователь. Данный процесс специфичен для разных РОРЗ-клиентов, однако все клиенты должны указывать следующую информацию:
Имя для учетной записи POP3 Это псевдоним пользователя в AD (например, k.akers).
Адрес электронной почты POP3 Это Интернет-адрес пользователя, который включает в себя псевдоним и имя домена (например, к,akers^tailspintoysxom).
Имя РОРЗ-сервера Здесь указывается имя Exchange-компьютера, на котором работает виртуальный РОРЗ-ссрвср, или DNS-запись РОРЗ-сервера интерфейса,
Имя SMTP-сервера Так как каждый Exchange-сервер содержит SMTP-сервер ло умолчанию, то здесь можно указать то же самое имя компьютера, что и для виртуального РОРЗ-сервера.
Для определенных клиентов вам может понадобиться переопределить параметры, используемые сервером по умолчанию. Предположим, например, что большинство ваших РОРЗ-клиентов могут интерпретировать HTML* Учитывая это, вы устанавливаете на сервере режим, при котором по умолчанию тело сообщений передается в формате HTML. Однако несколько РОРЗ-клиентов не могут интерпретировать HTML. Для того чтобы обеспечить доставку этим пользователям сообщений в обычном текстовом формате, вы должны настроить РОРЗ-парамстры на уровне пользователей.
Для настройки РОРЗ-клиеита и установки параметров на уровне пользователя выполните следующие действия:
I. Откройте консоль Active Directory Users And Computers (Пользователи и компьютеры
Active Directory).
2* Щелкните мышью Users (Пользователи) в дереве консоли.
Щелкните правой кнопкой мыши на пользователе с почтовым ящиком в панели сведений н выберите пункт Properties (Свойства) в контекстном меню.
Перейдите на вкладку Exchange Features (Настройки Exchange) и щелкните POP3. 5. Щелкните Properties (Свойства).
6* Сбросьте флажок Use Protocol Defaults (Использовать параметры сервера по умолчанию).
7. Теперь можно настраивать параметры для определенного пользователя (список доступных параметров приведен в табл. 10-12).
8* Нажмите ОК, а затем еще раз щелкните ОК для закрытия диалогового окна Properties (Свойства) со свойствами пользователя.
Табл. 10-12. Настройки POP3 уровня пользователя
Setting
Description
MIME Encoding (MIME-кодирован ие)
M【ME позволяет описать сообщение, состоящее из различных частей. Возможные варианты:
Provide message body as plain text (Представлять тело сообщения в виде обычного текста)
Provide message body as HTML (Представлять тело сообщения в виде HTML)
Both (Использовать оба варианта)
U U Encode
Uuencode преобразует без потери информации бинарный файл в файл, состоящий нз отображаемых 7-битовых ASCII-символов. Если вы выбираете кодировку uuencode, то можно включить режим использования BinHex для Macintosh
Default Character Set (Набор символов по умолчанию)
Use Microsoft Exchange Rich Text Format (Использовать формат Microsoft Exchange RTF)
Если при преобразовании письма могут использоваться разные наборы символов, то Exchange выбирает набор символов по умолчанию
Если данный режим включен, то POP3-клиенты будут получать свои сообщения в RTF. При этом все POP3-клиенты принимают информацию в виде присоединенных файлов. Если клиент может интерпретировать RTE то присоединенный файл откроется и отобразится на экране в виде обычного сообщения. Клиентам, не поддерживающим RTE придется открывать приложение вручную
Закрепление материала
Следующие вопросы предназначены для повторения ключевой информации, представленной на данном занятии. Если вы нс можете ответить на какой-либо вопрос, то просмотрите заново материалы занятия, после чего вновь попробуйте ответить на 9тот вопрос. Ответы на вопросы приведены н разделе «Вопросы и ответы^ в конце данной главы.
В каком формате клиент Интернета посылает сообщение и каким образом SMTP преобразует его? В каком формате MAPI посылает сообщение и каким образом SMTP преобразует его?
Какой виртуальный сервер использует Exchange Server 2003 для поддержки W:b- DAV?
а. Виртуальный НТТР-ссрвер.
Виртуальный SMTP-сервер.
Виртуальный РОРЗ-сервер.
d* Виртуальный【МАР4-сервер.
3. В чем похожи POP3 и IMAP4 и в чем они различаются?
Резюме
Exchange Server 2003 поддерживает связь с другими SMTP-системами путем настройки SMTP-коннектора в качестве коннектора Интернет-почты и настройки глобальных параметров по умолчанию.
Параметры уровня пользователя, установленные для определенных пользователей, перекрывают глобальные параметры сервера.
Exchange Server 2003 поддерживает группы новостей и источники новостей NNTP.
Exchange Server 2003 поддерживает Web DAV и OWA с помощью используемого по умолчанию виртуального НТТР-сервера*
POP3- и 1МАР4-клиенты могут извлекать сообщения из почтовых ящиков Exchange Server 2003. Для отправки почты эти клиенты используют SMTP.
創 Пример из практики
Вы работаете администратором домена и администратором Exchange в музее Baldwin Museum of Science. Этот музей имеет высокую репутацию, не позволяющую ему заниматься распространением спама или рассылок коммерческого характера. В силу своей известности и общественной значимости музей подвергался атакам из Интернета. В частности, работникам музея рассылались вирусы, содержащиеся в присоединенных к электронным письмам файлам.
Все серверы в вашем домене недавно были обновлены до уровня Windows Server 2003, Enterprise Edition. Однако служащие музея пользуются разными рабочими станциями, на которых установлены POP3- н 1МАР4-клиенты. В настоящее время внешнее разрешение DNS-имен осуществляет поставщик услуг Интернета для музея. Это иногда приводит к задержкам, вызванным медленным разрешением имен, несмотря на то, что музей постоянно подоючен к поставщику услуг Интернета.
Руководство попросило вас взять эти проблемы под свой контроль.
Требование 1 Содержащие вирусы электронные письма были в прошлом источником проблем, так как 0HH были посланы работникам, не имеющим достаточных знаний для работы с ними. Вы получили и установили антивирусное программное обеспечение. Тем не менее, руководство требует, чтобы вы ограничили отсылку и получение электронной почты из Интернета, оставив эту возможность лишь небольшой группе пользователей,
Требование 2 Некоторые работники, которым необходимо посылать и получать электронную почту из Интернета, используют POP3- или 1МАР4-клиенты. Вам нужно убедиться, что эти работники могут выполнять все операции с электронной почтой. В то же время вам необходимо убедиться, что домен музея не может быть использован для пересылки спама.
■ Требование 3 Вас попросили реализовать DNS таким образом, чтобы музей сам выполнял внешнее разрешение DNS-имен. В настоящее время в музее использует^ ся интепэированная с AD служба имен DNS, которая установлена на контроллере домена и обеспечивает внутреннее разрешение DNS-имен (запросы на разрешение внешних имен пересылаются поставщику услуг Интернета).
Требование 1
В первом требовании говорится о том, что вы ограничиваете доступ к внешней электронной почте, предоставляя его лишь определенной группе пользователей.
Руководство предоставило вам список всех работников, которым разрешено получать и отправлять Интернет-почту. Как вы теперь убедитесь, что эти и только эти работники могут отсылать и получать внешнюю электронную почту, не ограничивая при этом ни одного работника в отсылке и получении внутренней электронной почты?
Вы обучаете помощника администратора. Он спрашивает, почему вы настроили ограничения доставки на SMTP-коннекторе, а не на виртуальном SMTP-сервере. Что вы ответите ему?
Требование 2
Вы должны настроить почтовую систему таким образом, чтобы работники, пользующиеся POP3- и IMAP4-клиента ми, могли выполнять все операции с электронной почтой и в то же время домен музея не мог быть использован для пересылки спама.
Вы послали по электронной почте сообщение Киму Экеру (Kim Aker), главному администратору Exchange в Consolidated Messenger. Сообщение было коротким н не содержало присоединенных файлов. Вы получили сообщение о невозможности доставки, в котором сказано, что ваше письмо поступило из небезопасного источника. Вам необходимо отослать письмо Киму. Как вы решите эту проблему?
Вы запретили пересылку писем на вашем виртуальном сервере, использующемся по умолчанию, однако это не решило проблему с транзитной пересылкой. Что еще вы должны проверить?
Требование 3
Вы должны настроить DNS таким образом, чтобы музей мог сам осуществлять внешнее разрешение DNS-hmch*
Вас попросили изменить конфигурацию DNS, чтобы разрешение имен через Интернет осуществлялось вашими DNS-ссрверами, а не поставщиком услуг Интернета. Какие DNS-записи вы измените?
創 Практикум по устранению проблем
Вашей организацией пользуется распространитель спама для рассылки писем коммерческого содержания» Вам нужно ограничить транзитную доставку (открытую трансляцию), разрешив ее только группе безопасности, содержащей пользователей IMAP4- 11 POP3-клиентов.
В данном практикуме требуется наличие глобальных групп безопасности с названиями IMAP4users и POP3 users. Также у вас должна функционировать тестовая сеть, которая настраивается согласно требованиям, приведенным в разделе «Прежде всего» данной главы.
Для решения требуемой задачи выполните следующие шаги:
1. Откройте Exchange System Manager,
Перейдите к Organizational Groups\First Organizational Group\Servcrs\ServerOl\Proto- cols\SMTP (Организационные группы\Псрвая организационная груипа\Серверы\ Сервср\Протоколы\5МТР), щелкните правой кнопкой мыши на Default SMTP Virtual Server (Виртуальный SMTP-сервер по умолчанию) н выберите в контекстном меню пункт Properties (Свойства).
Перейдите на вкладку Access (Доступ) и нажмите Relay (Трансляция) в панели Relay Restrictions (Ограничения трансляцин).
Убедитесь, что флажок Allow All Computers Which Successfully Authenticate To Relay Regardless Of The List Above (Разрешить транзитную пересылку всем прошедшим аутентификацию компьютерам, вне зависимости от вышеприведенного списка) сброшен. Если данный флажок установлен, то это практически всегда является источником ваших проблем.
Щелкните мышью на Users (Пользователи).
Уцалите всех пользователей и все группы, которым не разрешено посылать или транслировать почту через данный сервер. Предоставление этих разрешений группам, которые в них не нуждаются, также может привести к проблемам.
Примечание Вы должны удалить группу а не отозвать у нее разрешение, установив флажок Deny (Запретить). Например, если вы запретите посылку и трансляцию почты для группы Authenticated Users (Аутентифицированные пользователи), то предоставление разрешений Submit Permissions (Разрешения на отправку почты) или Relay Permissions (Разрешения на трансляцию почты) другим группам нс приведет к требуемому результату.
Нажмите Add (Добавить) и наберите POP3users в поле Enter Tlie Object Names To Select (Введите имена объектов для выбора), затем нажмите ОК.
Нажмите Add (Добавить) и наберите IMAP4users в поле Enter The Object Names To Select (Введите имена объектов для выбора), затем нажмите ОК.
Совет Для просмотра возможных форматов для вашнх записей щелкните на ссылке Examples (Примеры), как показано на рис. 10-13.
Резюме главы
FwiHtagFwiHtagWck 中 E" IWck 中 E" I支ЦК|р <* U』rWWK支ЦК|р <* U』rWWKf^svkfei в [p«ce J# }w la t>^e the 0blect <wie* 2 jxiu wart to M You 5 wwicti H inJupte otwch by i*p««№g iwch naw **h a mricolm Ui« cntdllv l3iowng gatJjatMim leKamfji» FitilNvne LwfMacwlObteelName (олтЫе； Ccnp^N)ишМЕемпч^ UMtlfgKiMm^OiwMait* twempt иш1®0ои«т1]|Domwi4amo\ObieciN«ne |вилтв1о, D«i»eri1\UHi1tf^svkfei в [p«ce J# }w la t>^e the 0blect <wie* 2 jxiu wart to M You 5 wwicti H inJupte otwch by i*p««№g iwch naw **h a mricolm Ui« cntdllv l3iowng gatJjatMim leKamfji» FitilNvne LwfMacwlObteelName (олтЫе； Ccnp^N)ишМЕемпч^ UMtlfgKiMm^OiwMait* twempt иш1®0ои«т1]|Domwi4amo\ObieciN«ne |вилтв1о, D«i»eri1\UHi1tРис. 10*13* Просмотр допустимых форматов вводаРис. 10*13* Просмотр допустимых форматов вводаЕм* m ойеа me* to wfed gs&utЕм* m ойеа me* to wfed gs&ut
FwiHtag
FwiHtag
Wck 中 E" I
Wck 中 E" I
支ЦК|р <* U』rWWK
支ЦК|р <* U』rWWK
f^svkfei в [p«ce J# }w la t>^e the 0blect <wie* 2 jxiu wart to M You 5 wwicti H inJupte otwch by i*p««№g iwch naw **h a mricolm Ui« cntdllv l3iowng gat
JjatMim leKamfji» FitilNvne LwfMacwl
ObteelName (олтЫе； Ccnp^N)
ишМЕемпч^ UMtlf
gKiMm^OiwMait* twempt иш1®0ои«т1]|
Domwi4amo\ObieciN«ne |вилтв1о, D«i»eri1\UHi1t
f^svkfei в [p«ce J# }w la t>^e the 0blect <wie* 2 jxiu wart to M You 5 wwicti H inJupte otwch by i*p««№g iwch naw **h a mricolm Ui« cntdllv l3iowng gat
JjatMim leKamfji» FitilNvne LwfMacwl
ObteelName (олтЫе； Ccnp^N)
ишМЕемпч^ UMtlf
gKiMm^OiwMait* twempt иш1®0ои«т1]|
Domwi4amo\ObieciN«ne |вилтв1о, D«i»eri1\UHi1t
Рис. 10*13* Просмотр допустимых форматов ввода
Рис. 10*13* Просмотр допустимых форматов ввода
Ем* m ойеа me* to wfed gs&ut
Ем* m ойеа me* to wfed gs&ut
В диалоговом окне Permissions For Submit And Relay (Разрешения на посылку и трансляцию) предоставьте разрешение Relay Permission (Разрешение на трансляцию) группам POP3users н [MAP4users.
В диалоговом окне Permissions For Submit And Relay (Разрешения на посылку и трансляцию) предоставьте разрешение Submit Permission (Разрешение па отсылку) группам POP3users и IMAP4users.
Примечание Если вы хотите разрешить трансляцию почты (Relay Permissions), то нужно разрешить и посылку почты (Submit Permissions),
Нажмите OK.
Снова нажмите ОК для закрытия диалогового окна Relay Restrictions (Ограничения трансляции). Вновь наймите ОК для закрытия диалогового окна Properties (Свойства) со свойствами виртуального сервера SMTP_serverL
創 Резюме главы
С помошью SMTP производится подключение и отправка электронной почты по этому подключению. Протокол ESMTP расширяет функциональность SMTR позволяя выполнять аутентификацию, шифрование и получать информацию о доставке сообщения.
DNS поддерживает функционирование Exchange Server 2003 с помощью МХ-записейт позволяющих идентифицировать почтовые серверы и разрешать их IP-адреса.
Можно создать и настроить дополнительные виртуальные SMTP-серверы и SMTP- коннекторы для контроля доступа к Интернету, запрещения транзитной доставки
(трансляции) писем, использования узлов диспетчеризации (smart-узлов) и работы в качестве узлов диспетчеризации.
Электронная почта может храниться на сервере поставщика услуг Интернета и пересылаться на сервер Exchange по требованию или по расписанию.
Exchange взаимодействует с другими SMTP-системами, поддерживает IMAP4- и РОРЗ-клненты, использует виртуальные HTTP-серверы для поддержки совместной работы в среде 蚀bDAV и OWA.
鼠 Рекомендации по подготовке
к экзамену
Прежде чем сдавать экзамен, повторите основные положения и термины, приведенные ниже, чтобы выяснить, какие темы нужно проработать дополнительно.
Основные положения
SMTP пересылает сообщения электронной почты с помощью ряда символьных команд, которые передаются от узла-отправителя к узлу-получателю. Узел-пол^атель отвечает на эти команды с помощью числовых кодов-откликов. Протокол ESMTP расширяет функциональность SMTP.
Можно контролировать доступ к Интернету, создавая и настраивая дополнительные виртуальные SMTP-серверы и SMTP-коннекторы. Они могут использоваться для настройки параметров входящих н исходящих подключений, контроля транзитной пересылки (открытой трансляции) и настроек параметров безопасности.
При необходимости организовать pull-отношение между серверами можно использовать SMTP-коннектор и настроить его на извлечение электронной почты из очереди удаленного SMTP-сервера через определенные интервалы.
Exchange Server 2003 поддерживает взаимодействие с другими SMTP-системами путем настройки SMTP-коннектора на работу в качестве коннектора Интернет- почты и настройки глобальных параметров по умолчанию.
POP3- и 1МАР4-клиенты могул извлекать сообщения из почтовых ящиков Exchange Server 2003. Для отправки почты эти клиенты используют SMTP. Параметры уровня пользователя, установленные для определенных пользователей, перекрывают глобальные параметры сервера.
Основные термины
ESMTP (Extended Simple Mail Transfer Protocol, расширенный простой протокол передачи почты) Расширение базового протокола SMTP (Simple Mail Transfer Protocol), поддерживающее дополнительные команды для взаимодействия с сервером.
IMAP4 (Internet Message Access Protocol version 4, протокол доступа к межсетевым сообщениям) Данный межсетевой протокол позволяет клиентам получать доступ к почте, хранящейся на сервере, нс закачивая ее на пользовательский компьютер.
POP3 (Post Office Protocol version 3, протокол почтового офиса) Межсетевой протокол, позволяющий клиенту загружать сообщения из своего почтового ящика, находящегося на сервере, на клиентский компьютер,
SMTP (Simple Mail Transfer Protocol, простой протокол передачи почты) Межсетевой стандарт для транспортировки и доставки электронных сообщений. SMTP является транспортом по умолчанию для Exchange Server 2003,
Щ Вопросы и ответы
Занятие 1. Закрепление материала
Вы являетесь администратором сети м хотите проверить связь между узлом вашей сети и новым, только что настроенном сервером Exchange Server 2003. Необходимо убедиться, что сообщения электронной почты могут шифроваться. Можно «прозвонить» (ping) этот сервер по имени узла. Вы подключены к порту 25 на этом сервере. Какую команду необходимо использовать?
atm
Gtгп
elho
d* hel。
Правильный ответ: с.
Вы являетесь администратором Contoso ISP. Имеются два SMTP-сервера, настроенные как smart-узлы: smart Lcontoso.com и sm art2, con toso, com. Ваш Интернет-провайдер (ISP) управляет DNS-записями компании Northwind Traders, чей сервер Exchange Server 2003 имеет FQDN maiIserv.лwtraders.com. Northwind Traders для связи с вашим провайдером использует выделенную линию. Какие MX-записи необходимо указать в DNS для данной ситуации?
MX 10 smart Lcontoso.com
MX 10 smart2.contoso.com
MX 20 maiIserv.nwtraders,com
MX 10 mailserv.contoso,com
MX 20 smart),contoso,com
MX 20 smart2.nwtraders.com
MX 10 smartLcontoso,com
MX 20 smart2. con toso, com
MX 30 mailserv.nwiraders.com
MX 10 mailserv.contoso.com
MX 10 smart /. comoso. com
MX 10 smart?.nwtraders.com
Правильный ответ: Ь.
3* Вы являетесь администратором организации Exchange Server 2003 в вашей компании. Компания имеет два домена электронной почты. Вам хотелось бы управлять фильтрами, ограничениями трансляции, форматами сообщений, безопасностью исходящей почты и параметрами узла диспетчеризации (smart-узла) раздельно для каждого домена. Какой методикой можно было бы воспользоваться?
Создать дополнительный виртуальный сервер и настроить SMTP-коннектор на использование его в качестве сервера-плацдарма (bridgehead).
Настроить все эти позиции на виртуальном SMTP-сервере по умолчанию.
Настроить форматы сообшений и параметры доставки для каждого домена.
Ограничить область действия SMTP-коннектора определенной группой маршрутизации.
Правильный ответ; а.
4. Вы являетесь администратором сервера Exchange Server 2003. Вы хотите, чтобы он действовал как узел диспетчеризации (smart-узел). В организации имеется один SMTP-домен. Как необходимо настроить ваш сервер?
Настроить SMTP-коннектор на перенаправление всей исходящей почты.
Настроить виртуальный SMTP-сервер по умолчанию как узел трансляции.
Настроить виртуальный SMTP-сервер по умолчанию на перенаправление всех «неразрешенных» сообщений.
Указать на используемом по умолчанию виртуальном SMTP-сервере, какие серверы могут выполнять трансляцию электронной почты.
Правильный ответ: Ь.
5* Вы хотите, чтобы организация Exchange Server 2003 обладала возможностями sman- узла. Как настроить виртуальный сервер на обеспечение этих возможностей н как реализовать такую конфигурацию?
Вирту^ыьный SMTP-сервер настраивается на работу в режиме входящего узла трансляции. Затем другие SMTP-серверы настраиваются на использование виртуального Exchange-сервера в качестве их узла диспетчеризации (smart-уала), а все входящие сообщения перенаправляются на этот виртуальный сервер. Данные настройки выполняются в пункте Relay Restrictions (Ограничения трансляции) на вкладке Access (Доступ) виртуального сервера.
Занятие 2. Закрепление материала
Вы администрируете сервер Exchange Server 2003, который подключается к поставщику услуг Интернета (1SP) по коммутируемому каналу. Вы хотите, чтобы ваша электронная почта хранилась на серверах ISP до тех пор, пока не подключится ваш Exchange-сервер. После этого все письма, находящиеся в очереди, должны быть доставлены на ваш Exchange-сервер. Каким образом настраивается данный режим работы?
Вы настраиваете свой SMTP-коннектор на запрос ETRN/TURN от сервера ISP. В резулЕаате ваш Exchange-сервер при подключении к ISP будет посылать команду etni.
Команда etrn инициирует отправку электронной почты, находящейся в очереди на сервере.
Необходимо, чтобы структура Exchange Server 2003 обладала возможностью узла диспетчеризации (smart-узла). Как должен быть настроен виртуальный сервер для обеспечения этих возможностей и как реализовать такую настройку?
Виртуальный SMTP-сервер настраивается на работу в режиме входяшего узла ^ансляции. Затем другие SMTP-серверы настраиваются на использование виртуального Exchange- сервера в качестве их узла диспетчеризации (smart-узла), а все входящие сообщеиия перенаправляются на этот виртуальный сервер. Данные настройки выполняются в пункте Relay Restrictions (Ограничения трансляции) на вкладке Access (Доступ) виртуального сервера.
3* Вы администрируете структуру Exchange Server 2003 в школе. Преподавательскому составу разрешено отправлять Интернет-почту а учашимся — нет. Как предотвратить возможность отправки/получения учащимися Интернет-почты?
SMTP-коннектор настраивается таким образом, чтобы отправлять электронную почту за пределы школы могли только определенные пользователи или группы. Для запрета учетным записям пользователей отправлять Интернет-почту нужно в Exchange System Manager перейти к Connectors (Коннекторы), щелкнуть правой кнопкой мыши на коннекторе, для которого необходимо установить ограничения, выбрать в контекстном меню пункт Properties (Свойства) и указать имена одного или нескольких получателей в областях ввода Accept Messages From (Принимать сообщения от) или Reject Messages From (Отклонять сообщения от) на вкладке Delivery Restrictions (Ограничения доставки). В этом случае коннектор будет настроен на принятие сообщений от пользователей-работников школы и отклонение сообщений от пользователей- школьников.
Как предотвратить возможность рассылки спама через вашу Exchange-структуру?
Настрой кой обратного DNS-поиска.
Разрешением анонимной аутентификации.
Отключением транзитной пересылки (открытой трансляции) писем.
Предотвращение возможности доступа к вашей организации IMAP4- и РОРЗ- клментов.
Правильный ответ: с.
Занятие 3. Закрепление материала
В каком формате оиент Интернета посылает сообщение и каким образом SMTP преобразует его? В каком формате MAPI посылает сообщение и каким образом SMTP преобразует его?
Сообщения от Интернет-клиентов посылаются в формате MIME, при этом никаких преобразований не производится. Сообщения от MAPI-клиентов посылаются в RTF* при этом SMTP преобразует их в формат М【ME.
Какой виртуальный сервер использует Exchange Server 2003 для поддержки Wfeb- DAV?
Виртуальный НТТР-сервер.
Виртуальный SMTP-сервер.
Виртуальный РОРЗ-сервер.
Виртуальный 1МАР4-сервер.
Правильный ответ: а.
В чем похожи POP3 и 1МАР4 и в чем они различаются?
Протоколы POP3 и IMAP4 обеспечивают клиентам доступ к их электронной почте* Пи один из этих протоколов не предназначен для отправки сообщений; данная функция реализуется с помощью SMTP. Различие между POP3 и IMAP4 состоит в том, что пользователи манипулируют своими сообщениями в разных местах* IMAP4 позволяет клиентам управлять их электронной почтой непосредственно на сервере. POP3 позволяет клиентам скачивать почту из нх личных почтовых ящиков на сервере к себе на клиентский компьютер, где и происходит управление сообщениями.
Пример из практики. Требование 1
Руководство предоставило вам список всех работников, которым разрешено получать и отправлять Интер нет-почту. Как вы теперь убедитесь, что эти и только эти работники могут отсылать и получать внешнюю электронную почту, не ограничивая при этом ни одного работника в отсылке и получении внутренней электронной почты?
Если у вас еще нет SMTP-коннектора, то нужно его создать и настроить на использование виртуального SMTP-сервера по умолчанию в качестве сервера-плацдарма. Для этого перейдите в Exchange System Manager к данному SMTP-коннектору, откройте диалоговое окно Properties (Свойства) н перейдите к вкладке Delivery Restrictions (Огранниенн* доставки). Здесь нужно указать, что сообщения от произвольных пользователей (everyone) будут отклоняться, после чего добавить а список Accept Messages From (Принимать сообщения от) учетные записи отдельных пользователей, которые должны отправлять и получать внешнюю электронную почту. В этот список нельзя добавлять группы безопасности, однако вы можете поместить этих пользователей в шобальную группу безопасности в силу других причин (напрнмер, для аудита).
Вы обучаете помощника администратора. Он спрашивает, почему вы настроили ограничения доставки на SMTP-коннектор% а не на виртуальном SMTP-сервере. Что вы ответите ему?
На уровне пользователей ограничения на доставку можно настроить на SMTP-коннекторе, а ограничения на доставку на уровне компьютеров — на виртуальном SMTP-сервере, Если вы настроите ограничения по учетным записям компьютеров, то пользователь не сможет пользоваться внешней электронной почтой, если он зарегистрируется на другом компьютере.
Пример из практики. Требование 2
L Вы послали по электронной почте сообщение Киму Экеру (Kim Aker), главному администратору Exchange в Consolidated Messenger Сообщение было коротким и не содержало присоединенных файлов. Вы получили сообщение о невозможности доставки, в котором сказано, что ваше письмо поступило из небезопасного мсточ- ника. Вам необходимо отослать письмо Киму. Как вы решите эту проблему?
Ваша проблема состоит не только в том, что вы не можете послать письмо Киму. Ваша организация могла попасть в список блокировки электронной почты из-за того, что распространители спама рассылают через вас свои сообщения. Вы можете попросить Кима поместить домен музея Baldwin Museum of Science в список исключений, чтобы вы смогли отправить ему письмо. Однако вам нужно разобраться с транзитной пересылкой сообщений, иначе другие организации также могут внести вас в свой список блокировки почты*
Так как у вас имеются IMAP4- н РОРЗ-1С1иенты, то запрещать транзитную пересылку (трансляцию) нельзя. Однако вы должны убедиться, что трансляция разрешена только этим клиентам и никому больше. Вы можете настроить трансляцию на используемом по умолчанию виртуальном SMTP-сервере, чтобы транзитную пересылку могли осуществлять только пользователи IMAP4- и POP3-клиентов. Другой вариант ——запретить трансляцию на используемом по умолчанию виртуальном SMTP-сервере, создать до» полнительный виртуальный SMTP-сервер и разрешить доступ к нему только ио/ьзова- телям IMAP4- н РОРЗ-клиентов.
Вы запретили пересылку писем на вашем виртуальном сервере, использующемся по умолчанию, однако это нс решило проблему с транзитной пересылкой. Что еще вы должны проверить?
Если трансляция писем разрешена на SMTP-сервере, то его настройки перекрывают настройки на сервере-плацдарме. Откройте диалоговое окно Properties
На вкладке Address Space (Адресное пространство) снимите флажок Allow Messages То Be Relayed Т» These Domains (Разрешить ретрансляцию сообщений в эти домены).
Пример из практики. Требование 3
L Вас попросили изменить конфигурацию DNS, чтобы разрешение имен через Интернет осуществлялось вашими DNS-серверами, а не поставщиком услуг Интернета. Какие DNS-записи вы измените?
Так как ваши DNS-серверы уже выполняют внутреннее разрешение имен, то в вашем файле DNS-зоны должны быть MX-записи для всех ваших серверов Exchange Server 2003. У вас установлено постоянное соединение с ISP, поэтому в его файле DNS-зоны должна находиться MX-запись для вашего сервера-плацдарма Exchange Server 2003. Вам нужно связаться с ISP и попросить, чтобы данная запись была удалена. (Кроме этого, вам нужно настроить изолированный DNS-сервер со стандартной основной зоной в вашей DMZ и изменить ваши корневые hint-файлы, однако эти задачи выходят за рамки данного вопроса,)
ГЛАВА 1 1
Безопасность Microsoft
Exchange Server 2003
Занятие 1. Управление подключениями с помощью брандмауэров387
Занятие 2. Защита от компьютерных вирусов396
Занятие 3. Защита почтовых ящиков405
Занятие 4. Реализация механизмов цифровой подписи и шифрования412
Занятие 5. Настройка административных разрешений41В
Занятие 6・ Отключение служб и журналирование протоколов427
Темы экзамена
Управление подключениями с помощью брандмауэра и решение возникающих проблем.
Управление сеансами аудита и журналами аудита,
Управление разрешениями на доступ и решение возникающих проблем.
Управление шифрованием и цифровыми подписями и решение возникающих проблем.
Определение и реакция на угрозы безопасности,
В этой главе
Следующей задачей, возникающей после установки и конфигурирования Microsoft Exchange Server 2003, является настройка безопасности на серверах Exchange Server 2003. Вам нужно подготовиться к отражению вирусных атак, защитить почтовые ящики, настроить цифровые подписи и шифрование, настроить брандмауэры и установить соответствующие административныс разрешения. Кроме этого, надо уменьшить число служб, запущенных на сервере, оставив только те, которые необходимы для работы Exchange Server 2003. Необязательные службы потребляют ресурсы и могут быть использованы в качестве цели для атаки.
Электронная почта является, наверное, наиболее уязвимой частью любой операции в организации, поэтому на данном участке безопасность должна быть на высоком уровне.
Прежде всего
Для выполнения упражнений, приведенных в данной главе, необходимо настроить следующие программные и аппаратные компоненты:
Два сервера с операционной системой Microsoft Windows Server 2003, Enterprise Edition, включенных в домен tailspinioys.com службы каталогов AD. Serveг01 должен быть контроллером домена, a Server02 — рядовым серйером. Served)I должен иметь несколько сетевых интерфейсов. Сетевое подключение Local Area Connection осуществляет подключение к внутренней сети (то есть к той же сети, к которой подключей Server02). Сетевое подключение Local Area Connection 2 моделирует подклю^ чение к внешней сети (физически это подключение может быть ни с чем не соединено).
Примечание Если у вас домен имеет имя. отличаюшееся от tailspintoys.сот, нет необходимости менять его. Вместо этого вам нужно во всех упражнениях данной главы вместо tailspinJoys.com использовать имя вашего домена.
ServerOl должен быть сервером корневого центра сертификации предприятия.
На обоих серверах должен быть установлен Exchange Server 2003, Enterprise Edition.
ServerOl и Server02 должны быть соответственно серверами хранилищ (back-end server) и интерфейса (front-end server).
В сети должен функционировать сервер DNS ( Domain Name System, система доменных имен). Как правило, DNS устанавливается на контроллере домена.
Для тестирования на обоих компьютерах должен быть установлен Microsoft Outlook 2003.
По крайней мере один компьютер в вашей тестовой сети должен иметь доступ в Интернет для загрузки антивирусного программного обеспечения.
■ На сервере ServerOl должен быть установлен модем. Данное требование не является абсолютно необходимым, однако некоторые шаги в одном из упражнений занятия 1 могут быть выполнены только при наличии модема.
Занятие 1. Управление подключениями с помощью брандмауэров
Брандмауэр (firewall) используется для предотвращения доступа неавторизованных пользователей к вашим внутренним сетям, соединенным с другими сетями. Как правило, брандмауэр запрещает доступ к внутренней корпоративной сети внешним пользователям из Интернета. Все сообщения электронной почты» которые поступают во внутреннюю сеть или выходят из этой сети, проходят через брандмауэр, блокирующий сообщения, не удовлетворяюшие определенным критериям.
Изучив материал данного занятия» вы сможете:
/ объяснить, что такое брандмауэр;
/ объяснить, что такое TCP-порт, и определить, какие порты можно закрыть;
/ описать параметры подключения MAPI-клиента (Messaging Application Programming Interface) к Exchange-серверу, защищенному брандмауэром;
/ описать рекомендуемую настройкуг для подк-пючения MAPI-клиента к Exchange-серверу защищенному брандмауэром;
/ настроить Exchange Server 2003 для вызова удаленных процедур (remote procedure call, RPC) no HTTP (Hypertext Transfer Protocol);
/ настроить Outlook для использования RPC no HTTR
П родолжител ьность занятия — около 45 минут.
Как работает брандмауэр
Брандмауэр может выступать в качестве фильтра пакетовt просматривая каждый пакет данных, поступающий в сеть или выходящий из нее. Он может пропускать или задерживать пакеты, основываясь на адресе их источника, адресе получателя или номере порта. Брандмауэр может сканировать вирусы (если установлено соответствующее антивирусное программное обеспечение) к уничтожать их до того, как они попадут в вашу есть или выйдут из нее. Брандмауэр может выступать в качестве прокси-сервера, маскируя реальные сетевые адреса м фильтруя пакеты, содержащие некорректные или поврежденные данные.
Структура Exchange, которая имеет доступ к внешним сетям, должна быть защищена брандмауэром. В частности, хорошо защищены должны быть серверы хранилищ (backend). на которых хранится конфиденциальная информация. Серверы интерфейса (frontend), как правило, более функциональны и не столь требовательны к безопасности. Поэтому во многих компа1!иях защиту серверов интерфейса с помощью брандмауэров организуют с низким уровнем безопасности (или вовсе нс защищают эти серверы), а для серверов хранилищ и других важных частей внутренней сети устанавливают высокий уровень безопасности. В этом случае говорят, что серверы интерфейса находятся в демилитаризованной зоне (demilitarized zone, DMZ) или в сети периметра.
Exchange сам по себе является прокси-сервером, который понимает почтовый протокол и может распознать» что данные повреждены или получены из некорректного источника. Если Exchange настроен правильно» то вам не нужен отдельный проксисервер.
Фильтрация ТСР-портов
Протокол TCP (Transmission Control Protocol, протокол контроля передачи) позволяет двум узлам устанавливать соединение между собой и обмениваться данными. ТСР-порт задает определенный (абстрактный) адрес для доставки ТСР^сегментов. ТСР-порты определяются для определенного приложения или службы, использующих TCP. Например, служба HTTP использует ТСР-порт 80, а протокол SMTP (Simple Mail Transfer Protocol) — ТСР-порт 25.
Можно защитить сетевые приложения н службы путем ограничения подключений к используемым ими портам. Фильтрация TCP-портов позволяет контролировать тип сетевого трафика, поступающего к вашим серверам Exchange и сетевым устройствам.
С помощью брандмауэра вы можете разрешить прохождение через определенные TCP-порты только пакетов определенного типа. Теоретически вы можете настроить вашу сеть на пропуск через брандмауэр только SMTP-трафлка (порт 25). На практике для того чтобы удаленные клиенты и серверы могли взаимодействовать с вашей сетью, для Exchange должны быть открыты дополнительные порты. Однако вы можете фильтровать трафик, проходящий через эти порты (например, по адресу отправителя или имени домена，и запретить прохождение трафика через неиспользуемые порты, В табл. 11-1 перечислены TCP-порты и связанные с ними службы.
Табл. 11-L
Порты Exchange Server 2003 н службы
Порт
Служба
25
SMTP
80
HTTP
88
Kerberos
102
Message Transfer Agent (MTA) — коннектор X.400 no TCP/JP
ПО
Post Office Protocol version 3 (POP3)
119
Network News Transfer Protocol (NNTP)
135
Связь клиент/сервер
RPC
Администрирование Exchange
143
Internet Message Access Protocol version 4 (IMAP4)
389
Lightweight Directory Application Protocol (LDAP)
443
HTTP, использующий Secure Sockets Layer (SSL)
563
NNTP, использующий SSL
636
LDAP, использующий SSL
993
IMAP4, использующий SSL
995
POP3, использующий SSL
3268 и 3269
Таблицы поиска глобального каталога
Внимание! В табл, 11-1 перечислены вес порты, которые использует Exchange Server 2003 в том или ином режиме работы. Однако это не означает, что вы должны открыть все эти порты на вашем брандмауэре. Например, если вы не поддерживаете [МАР4- или POP3-клиентов, то соответствующие порты должны быть закрыты. Обшее правило — держать открытыми следует минимально необходимое количество портов.
Подключение через брандмауэр MAPI-клиента
Вы можете разрешить прохождение через брандмауэр сообщений, посылаемых MAPI- клиентом (например. Outlook) для подключения к серверу Exchange Server 2003, путем настройки RPC по HTTP (RPC over HTTP). Также вы можете настроить статические соответствия портов для информ ацион ного хранилища (Information Store, IS), добавив параметры в реестр Windows или сконфигурировав сервер ISA (Microsoft Internet Security and Acceleration Server) на маршрутизацию всего Интернет-трафика; однако рекомендуется в этом случае настроить RPC no HTTP. При этом исчезает необходимость в использовании VPN-подключении (virtual private network, частная виртуальная сеть) для доступа к информации Exchange. Пользователи Outlook с помощью HTTP мотуг подключаться через Интернет непосредственно к серверу Exchange, даже если и сервер Exchange, и Outlook защищены брандмауэром и находятся в разных сетях.
При развертывании RPC по HTTP вам следует настроить ваш сервер интерфейса Exchange на работу в режиме прокси-сервера RPC. Прокси-сервер RPC определяет порты, которыми будут пользоваться RPC-клиенты для взаимодействия с контроллерами домена, серверами глобального каталога к серверами Exchange. Вы можете разместить прокси-сервер RPC за брандмауэром или в DMZ.
Размещение за брандмауэром
Вы можете развернуть ISA Server в DMZ и настроить прокси-сервер RPC на сервере интерфейса Exchange за брандмауэром. В этом сл7rliне нет необходимости открывать порты для взаимодействия прокси-сервера RPC с другими серверами, так как сервер ISA будет переадресовывать RPC-запросы по HTTP серверу интерфейса Exchange, Выбрав этот вариант, вы сможете настроить прокси-сервер RPC па использование всех нужных ему портов внутри определенного диапазона.
Размещение в DMZ
Вы можете настроить прокси-сервер RPC на сервере интерфейса Exchange Server 2003, расположенном в вашей DMZ. При использовании данного зарианта вы должны будете ограничить число портов, которыми сможет пользоваться прокси-сервер RPC.
Лабораторная работа. Настройка Exchange Server 2003 на использование RPC по HTTP
Для настройки Exchange Server 2003 на использование RPC по HTTP вам нужно выполнить следующие шаги:
Настроить ваш сервер интерфейса Exchange (Server02) на работу в режиме проксисервера RPC.
Настроить базовую аутентификацию в виртуальном катоогс RPC н Iniemet Information Services (IIS).
Изменить реестр на сервере хранилищ Exchange (ServerO 1), который взаимодействует с прокси-сервером, для использования определенного количества портов.
Откройте нужные порты на внутреннем брандмауэре на сервере хранмлмт.
Создайте для ваших пользователей профиль Outlook, чтобы они смогли пользоваться RPC no HTTP.
Упражнение 1. Настройка сервера интерфейса
на использование RPC по HTTP
Для настройки вашего сервера интерфейса Exchange на использование RPC по HTTP вам нужно выполнить следующие шаги:
Убедитесь, что установочный компакт-диск Windows 2003 Server находится в CD- приводе на Server02.
Откройте Control Panel (Панель управления) на Serveг02, дважды щелкните мышью на пункте Add Or Remove Programs (Установка или удаление программ).
Щелкните мышью на значке Add/Remove Windows Components (Установка/удаление компонентов Windows).
В открывшемся диалоговом окне Windows Components (Компоненты Windows) выберите Networking Services (Сетевые службы) и нажмите Details (Подробно).
В диалоговом окне Networking Services Component (Компоненты сетевых служб) выберите RPS Over HTTP Proxy, нажмите OK.
В диалоговом окне Windows Components (Компоненты Windows) нажмите кнопку Next (Далее) для установки компонента RPC over HTTP Proxy (Прокси-сервер RPC по HTTP). Следуйте инструкциям мастера Configure Components Wizard (Настройка компонентов). Нажмите Finish (Готово) для закрытия мастера.
Упражнение 2. Настройка виртуального каталога RPC
Для настройки виртуального каталога RPC на прокси-сервере RPC (Senfer02) выполните следующие шаги:
Откройте консоль HS Manager (Управление IJS) на ServerO2,
Пере访口нте к Server02\Web Sites, разверните Default Web Site, щелкните правой кнопкой мыши на Rpc м выберите в контекстном меню пункт Properties (Свойства).
На странице Rpc Properties (Свойства Rpc) перейдите на а кладку Directory Security (Защита каталога) и щелкните мышью на Edit (Изменить) и панели Authentication And Access Control (Управление аутентификацией и доступом).
В окне Authentication Methods (Методы аутентификации) сбросьте флажок Anonymous Access (Анонимный доступ) и выберите Basic Authentication (Базовая аутентификация). Если появится диалоговое окно с предупреждаю ши м сообщением, то нажмите Ws (Да) для его закрытия. Нажмите ОК.
Нажмите ОК для закрытия консоли IIS Manager (Управление 1IS).
Упражнение 3. Настройка прокси-сервера RPC
на использование определенных портов
В данном упражнение вы настроите прокси-сервер RPC (Serveг02) на использование определенных портов. В вашей тестовой сети вы можете настроить те же самые порты на сервере ServerOL В реальной ситуаиии вам понадобилось бы сконфигурировать все серверы, которые взаимодействуют с вашим сервером интерфейса.
Для настройки прокси-сервера RPC на использование определенных портов для RPC по HTTP выполните следующие шаги:
Нажмите Run (Запуск) в меню Start (Пуск) на Server02t наберите regedit в поле Run (Открыть) и нажмите ОК
Внимание! Соблюдайте осторожность при редактировании реестра. Некорректные изменения реестра могут повредить вашу операционную систему.
Перейдите к ключу реестра HKEY_LOCAL_MACHINE\Software\Microsoft\Rpc\ Rpc Proxy.
Щелкните правой кнопкой мыши ключ реестра Valid Ports и выберите в контекстном меню пункт Modify (Изменить),
В окне Edit String (Изменение строкового параметра) введите в поле Vdue Data (Значение) следующую строку: Serve гО1: 593; Serve г 01: 6001-6004.
Примечание В вашей тестовой сеги сервер ServerOl также является контроллером домена и сервером каталога. В реальной сети вам нужно будет настроить все контроллеры домена (в том числе и сервер глобального каталога) и серверы хранилищ Exchange, с которыми взаимодействует прокси-сервер RPC.
Закройте редактор реестра на Server02.
Для настройки сервера хранилищ Exchange (ServerOl) на использование определенных портов для запросов RPC по HTTP запустите на этом сервере редактор реестра.
Перейдите к ключу реестра HKEY_LOCAL_MACH1NE\SYSTEM\ CurrentControlSet\ Services\MSExchangeSA\Parameters.
Щелкните правой кнопкой мыши на параметре Rpc/HTTP NSP1 Port и выберите в контекстном меню пункт Modify (Изменить).
Примечание Если в реестре нет параметра Rpc/HTTP NSP1 Port, его нужно создать. Для этого выделите пункт New (Создать) в меню Edit (Правка) и выберите пункт DWORD V^lue (Параметр DWORD).
Выберите Decimal (Десятичная) в окне Base (Система исчисления).
В поле Value Data (Значение) введите 6003, как показано на рис. 11-1, затем нажмите ОК.
Рис. 11-1* Параметры порта Rpc/HTTP NSPI
Для настройки порта для перенаправления службы каталогов (DS Referral) щелкните правой кнопкой мыши на HTTP Port н выберите в контекстном меню пункт Modify (Изменить).
Аналогично предыдущим шагам выберите Decimal (Десятичная) в окне Base (Система исчисления), наберите 6003 в поле *Iue Data (Значение) и нажмите ОК.
Для использования хранилища Exchange (Exchange Store) перейдите к ключу реестра Н KEY—LOCA L_MAC Н IN E'SYSTE M\CurrcntControlSet\Services\ М SExchangeIS\ ParametersSystem.
Щелкните правой кнопкой мыши на параметре Rpc/HTTP NSPI Port и выберите в контекстном меню пункт Modify (Изменить).
Выберите Decimal (Десятичная) в окне Base (Система исчисления^ наберите 6001 в поле 必】ue Data (Значение) и нажмите ОК.
Закройте редактор реестра на ServcrO 1.
Примечание Предыдущее упражнение ——это упрощенная процедура, иллюстрирующая данную технику на примере тестовой сети. Более подробно настройка RPC по HTTP описана в руководстве Microsoft Exchange Titanium Getting Started Guide на сайте Microsoft (vvhw.Microsoft.com).
Упражнение 4. Создание профиля Outlook для использования RPC по HTTP
Для того чтобы пользователи могли пользоваться RPC по HTTP со своих клиентских компьютеров, у них должен иметься профиль Outlook, настроенный на использование RPC по HTTR Обычно такой профиль создается на клиентском компьютере. Если вы хотите проверить данную процедуру н тестовой сети, то можно выполнить соответствующие шаги на сервере ServerOl. Однако если у вас нет модема, установленного согласно инструкциям в начале данной главы, то вы не сможете выполнить шаги с 12 по 17.
Примечание ServerOl является контроллером домена. В реальной сети вы вряд ли будете устанавливать модем на контроллер домена или использовать его в качестве оиента. Здесь вы используете сеть из двух компьютеров исключительно в учебных целях.
Чтобы создать профиль Outlook для использования RPC по HTTP, выполните следующие шаги:
В меню Start (Пуск) на ServerO 1 выберите Control Panel (Панель управления).
Если в Control Panel (Панель управления) у вас установлен режим просмотра по категориям (Categoiy 片ew), то щелкните мышью Other Control Panel Options (Другие параметры панели управления) в панели See Also (См. также) и выберите пункт Mail (Почта).
Если в Control Panel (Панель управления) у вас установлен классический режим просмотра (Classic 片ew), то выберите пункт Mail (Почта),
Нажмите Show Profiles (Показать профили).
5+ Нажмите Add (Добавить)目 диалоговом окне Mail (Почта).
В диалоговом окне New Profile (Новый профиль) введите в поле Profile Name (Название профиля) имя создаваемого профиля (например, RPC over HTTP).
В мастере New E-Mail Accounts Wizard (Новая учетная запись электронной почты) выберите Add A New E-Mail Account (Добавить новую учетную запись электронной почты) и нажмите Next (Далее).
На странице Server Туре (Тип сервера) выберите Microsoft Exchange Server и нажмите Next (Далее).
В диалоговом окне Exchange Server Settings (Настройки сервера Exchange), показанном на рис. 11-2, введите имя сервера ServerOI и имя пользователя. Нажмите Check Name (Проверить имя). Нажмите ОК.
Рис. 11-2. Диалоговое окно Exchange Server Settings
Нажмите More Settings (Дополнительно).
И. На вкладке Connection (Подключение) выберите Connect Using Internet Explorer's Or A 3rd Party Dialer (Подключаться с помощью номеронабирателя Internet Explorer или номеронабирателя третьей фирмы) в панели Connection (Подключение).
В панели Modem (Модем) выберите Connect То Му Exchange Mailbox Using HTTP (Подключаться к моему почтовому ящику Exchange с помощью HTTP).
13+ Нажмите Exchange Proxy Settings (Настройки прокси-сервера Exchange).
На странице Exchange Proxy Settings (Настройки прокси-сервера Exchange) в окне Connections Settings (Параметры подключения) введите ser\>er01,tailspintoys.сот в поле Use This URL То Connect То Му Proxy Server For Exchange box (Использовать данный URL для подключения к моему прокси-серверу для Exchange).
Выберите Connect Using SSL Only (Подключаться только с использованием SSL).
Выберите Exchange Mutually Authenticate The Session When Connecting With SSL (Взаимная аутентификация сеанса при подключении с использованием SSL).
Введите msstd:server02.tailspintoys.com в поле Principal Name For Proxy Server (Основное имя прокси-сервера).
На странице Exchange Proxy Settings (Настройки прокси-сервера Exchange) в окне Proxy Authentication Settings (Параметры аутентификации прокси-сервера) выберите в раскрывающемся меню Use This Authentication When Connecting To My Proxy Server For Exchange (Использовать данную аутентификацию дня подключения к моему прокси* серверу для Exchange) пункт Basic Authentication (Базовая аутентифнкаин，/
Нажмите ОК.
Нажмите Finish (Готово).
Упражнение 5. Настройка Internet Connection Firewall
Вы можете воспользоваться аппаратными брандмауэрами, которые выпускаются таки* ми произзодителями, как Cisco или SonicWALL. Настройка в этом случае производится по инструкции производителя. Однако можно настроить и программный брандмауэр Microsoft Internet Connection Firewall (ICF), который входит в состав Windows 2003 Server.
Для включения и настройки 1CF выполните следующие шаги:
На сервере ServerO 1 откройте подключение по локальной сети, с помощью которого можно соединиться с ServerOl.
Щелкните правой кнопкой мыши на значке подоючения и выберите пункт Properties (Свойства) в контекстном меню.
На вкладки Advanced (Дополнительно) установите флажок Protect Му Computer And Network By Limiting Or Preventing Access To This Computer From The Internet (Защитить мои компьютер н сеть, ограничив или запретив доступ к этому компьютеру из Интернета) и нажмите Settings (Настройки).
На вкладке Services (Службы) диалогового окна Advanced Settings (Дополнительные параметры) выберите служба, которые смогут проходить через брандмауэр. Данное диалоговое окно показано на рис. 11-3, Вы можете добавлять службы и указывать порты, нажимая кнопку Add (Добавить).
Рис. 11-3. Настройка дополнительных параметров ICF
Нажмите ОК.
Нажмите ОК для закрытия диалогового окна Local Area Connection Properties (Свойства подключения по локальной сети).
Занятие 2. Защита от компьютерных вирусов
На данном занятии вы узнаете о том, что такое вирусы, черви и трояны, изучите их действия и рассмотрите методы борьбы с ними. Хотя черви и трояны нс являются вирусами, в технической литературе все эти три типа угроз часто называются вирусными атаками (на данном занятии мы также будем придерживаться этого подхода).
Ключевым моментом в борьбе с вирусами является понимание процесса их распространения в структуре Exchange. Поняв это, можно принять осмысленные мерн предо- сторожкости.
Меры предосторожности
Ключевая фраза здесь — «осмысленные меры предосторожности». Нет понятия «совершенная защита»; защита должна всегда быть сбалансирована с удобством работы. Вы всегда должны быть осведомлены о новых угрозах» а в вашей организации должно быть как можно меньше целей для атакующего. Кроме того, процесс защиты нельзя прервать на каком-то этапе; то, что безопасно сегодня, может стать небезопасным завтра. Просто купив хороший брандмауэр и надежную антивирусную программу и забыв о них, нельзя обеспечить компьютерную безопасность.
Изучив материал данного занятия, вы сможете:
/ объяснить, что такое компьютерные вирусы;
/ различать вирусы, черви и трояны;
/ описать пути распространения вирусов;
/ разработать антивирусную стратегию;
，выбрать антивирусное программное обеспечение;
/ объяснить, что такое политики и процедуры борьбы с вирусами, и создавать такие политики и процедуры;
， объяснить, почему необходимы обновления безопасностии где и каким образом можно скачать эти обновления.
Продолжительность занятия — около 45 минут.
Вирусы, черви и трояны
Компьютерный вирус — это часть исполняемого кода, которая может внедряться в файлы или программы. После заражения вирус размножается и распространяет инфицированные файлы по сети, с одного компьютера на другой. Вирусу для его работы требуется xocw-программа, то есть для того чтобы вирус начал распространяться и заражать другие компьютеры, он должен быть запущен.
Также часто вирусы кроме распространения могут выполняют и другие действия, в том числе дес тру ктивные. Некоторые вирусы просто распространяются, потребляя тем самым ресурсы, но ничего не разрушая, а некоторые могут повредить программы или данные. Даже в случае самого безопасного вируса его распространение может вызвать проблемы, связанные с потреблением дискового пространства, памяти, уменыие- нием пропускной способности сети и снижением производительности зараженного компьютера и сети, к которой подключен этот компьютер.
Червь — это программа, которая распространяет себя так же, как 订 вирус. Однако вирусу не нужна хост-программа, он может распространять себя автоматически, всякий раз, когда приложение или операционная систем пересылает или копирует файлы.
Троян ——это программа, которая имитирует другую программу (как правило, нейтральную компьютерную игру или утилиту), но производит при своем запуске несанкционированные действия. Троян не может самостоятельно распространять себя. Распространяются трояны самими пользователями с помощью электронной почты.
Передача вирусов
Как празило вирусы передаются в приложениях к электронной почте или в программах, скачиваемых из Интернета. Пользователь активизирует вирус, открывая сообщение электронной почты или запуская программу. После этого вирус загружает себя в адресное пространство программы я ищет другие программы. Если вирус найдет подходящую программу, он модифицирует ее, добавляя свой код. При следующем запуске этой программы она инфицирует другие программы и вирус будет распространяться. Если вирус проникает в систему обмена сообщений, то он быстро распространяется, так как клиенты электронной почты посылают сообщения другим клиентам, а также обеспечивают
доступ к другому программному обеспечению (например, к программам для ведения адресной книги).
Вирус может инфицировать защищенные ресурсы (например, системные файлы и приложения). Поэтому при установке и настройке новых компьютеров их всегда нужно отключать от внешней сети. Перед вкл ючением компьютера в сеть вы можете установить все актуальные обновления безопасности и антивирусную программу, а также вручную запустить проверку программ с использованием самого свежего файла сигнатур.
Разработка антивирусной стратегии
Для защиты вашей почтовой системы вы должны разработать антивирусную стратегию. Эта стратегия должна включать в себя обучение пользователей борьбе с внрусамн, установку антивирусного программного обеспечения и поддержку его актуальности.
Во время обучения пользователей их нужно проинформировать о современных вирусных угрозах и важности установки на их компьютерах актуальных файлов сигнатур и обнозлений безопасности. Если пользователи имеют представление о вирусах, то они помогут предотвратить распространение вируса в случае атаки на вашу систему. Например, пользователи должны знать, что нельзя открывать присоединенные файлы, которые они получают от любых приложений (включая клиенты электронной почты и приложения для работы с мгновенными сообщениями), если только они нс знают отправителя н нс ожидают от него файлы.
Внимание! Многие пользователи думают, что достаточно установить антивирусную программу и регулярно обновлять вирусные сигнатуры. Это не так. Пользователи также должны скачивать и устанавливать обновления операционной системы, которые включают в себя исправления безопасности, закрывающие известные сбреши» (уязвимости) в системе безопасности. Вы должны проинформировать об этом пользователей и по возможности поддерживать различные системы автоматической загрузки и установки обновлений от Microsoft (например, Windows updates).
Имеется много методов оповещения пользователей о вирусных угрозах, включая рассылку по электронной почте сообщений с информацией о новых вирусах и методах борьбы с ними.
Блокировка загрузки файлов
Ваши советы по поводу блокировки загрузки файлов должны быть аргументированными и обдуманными. Например, если вы работаете в издательской организации, которая регулярно получает работы от авторов в виде присоединенных файлов, то вы не можете советовать запретить закачку всех файлов. Вместо этого вам следует проинформировать пользователей и руководство о потенциально опасных типах файлов, таких как .bm, .com, .scr, .vbs и вложенные сценарии HTML. Некоторые организации запрещают загрузку любого исполняемого кода из Интернета. В результате такие организации по-прежнему могут быть атакованы, но они уже не смогут загружать файлы с актуальными сигнатурами вирусов или обновления безопасности.
Установка антивирусного программного обеспечения
В вашу антивирусную стратегию должны входить планы по установке антивирусных программ. Они могут быть установлены па клиентских компьютерах, серверах и брандмауэрах.
Антивирусная программа на клиентской машине
Вирусы активизируются в тот момент，когда пользователи открывают инфицированные вложения. Поэтому вам нужно установить антивирусную программу на всех компьютерах, которые подключены к вашей сети, включая дистанционно удаленных клиентов. К-аиентская антивирусная программа устанавливает фильтры файловой системы, которые проверяют записываемые на диск файлы на наличие в них сигнатур известных вирусов* Некоторые антивирусные программы и шут код вируса в присоединяем ых к электронным письмам файлах на почтовом клиенте. При обнаружении вируса программа удаляет присоединенные файлы (или копирует их на локальный жесткий диск и лечит эти файлы).
Примечание Данная система не совершенна. Иногда иеинфицированные и нужные вам вложения определяются как вирусы. Если вы отправляете архивированный файл в виде самораспаковывающегося архива (.ехе), то некоторые фильтры могут заблокировать его.
Антивирусная программа на сервере
Серверная антивирусная программа сканирует почтовые я ши к и и общие папки; некоторые антивирусы могут также проверять транспортные файлы и удалять найденные вирусы до того, как они попадут в вашу есть.
Антивирусное программное обеспечение, которое вы будете устанавливать на сервере Exchange Server 2003, должно быть разработано специально для Exchange, так как Exchange работает с большой базой данных и антивирусная программа должна различать сигнатуру известного вируса и случайную строку байтов, которая совпала с сигнатурой вируса.
Вы должны установить серверную антивирусную программу на каждый сервер Exchange н вашей организации. Это поможет предотвратить распространение вирусов пользователям, которые не пользуются клиентской антивирусной программой.
Антивирусная программа на брандмауэре
Брандмауэр защищает вашу сеть от несанкционированного доступа и может также обеспечивать защиту от ннрусов. Антивирусная программа на брандмауэре сканирует файлы, когда они попадают в брандмауэр, и отфильтровывает вирусы до того, как они попадут в вашу сеть. Также такая программа удаляет антивирусы, выходящие из вашей сети. Последнее обстоятельство является важным, так как системы безопасности должны защищать от неосторожных или злонамеренных действий собственных пользователей с той же надежностью, как и от внешних атак.
Обычно антивирусная программа на брандмауэре позволяет вам определить, каким образом будут обрабатываться обнаруженные вирусы* Вы можете настроить антивирус на удаление присоединенных файлов, на отсылку администратору сообщения по электронной почте или на помещение подозрительного сообщения в очередь для дальней
шего анализа.
Обеспечение актуальности защиты
Следует помнить, что постоянно появляются новые вирусы или новые модификации старых вирусов* Вы должны следить за актуальностью антивирусного программного обеспечения и периодически загружать файлы сигнатур для последних вирусов. В организации, в которой установлена антивирусная защита, нужно настроить каждый компонент на автоматическое получение обновлений. Автоматические обновления не требуют вмешательства администратора или пользователя, что особенно важно на клиентских компьютерах, так как пользователи часто пренебрегают периодическим обновлением антивирусной программы или дефиниций.
Внимание! В состав антивирусных обновлений может входить новый исполняемый код программы. Если вы настроили системы на а атом этическое обновление» то вы не сможете проверить работу этого кода в вашей сети, поэтому не сможете заранее гарантировать, что этот новый код не будет конфликтовать с какими-либо другими программами. Вы должны четко осознавать данное обстоятельство, котя зт。и не является причиной для запрета автоматических обновлений.
Выбор антивирусной программы
В настоящее время Microsoft не распространяет антивирусные пакеты, поэтому вы должны выбрать антивирусную программу стороннего производителя. При выборе антивирусного программного обеспечения следует учитывать несколько факторов:
■ Данная программа интегрирована с Exchange Server 2003 и с другими службами в вашей сети?
Нс будет ли эта программа сильно снижать производительность сервера Exchange?
Разработчик поддерживает использование программы совместно с Exchange Server?
Обеспечивает ли данная программа защиту от вирусов, червей, троянов и другого вредоносного кода?
Поддерживает ли программа автоматическое развертывание клиентской части?
Существуют ли механизмы для централизованного мониторинга клиентов из одной точки?
Обеспечивает ли программа одинаковую степень защиты удаленных и локально подключенных компьютеров?
Программа сканирует и входящую, и исходящую электронную почту?
Поддерживает ли программа автоматические обновления?
Как часто разработчик выпускает обновления продукта (особенно в случае возникновения вирусных атак) н гарантирует ли разработчик, что в случае необходимости программа будет обновлена для определения новых вирусов?
Реализовано ли в программе сканирование вирусов на клиенте Exchange Server, на Exchange Server IS, на уровне транспорте Exchange Server и на уровне брандмауэра?
Сертифицирован ли разработчик организациями TruSecure International Customer Service Association (ICSA) Lab или CheckMark?
Совет Получить более подробную информацию о разработчиках антивирусного программного обеспечения можно на сайтах htip://trusecure,сот, http://www.icsa.сот и hiip:〃www.check-murk.com.
Политики и процедуры борьбы с вирусами
Даже если вы разработали антивирусную политику и установили антивирусную программу, вы все равно можете подвергнуться атаке вирусов. Ваша стратеги貝 безопасности должна включать в себя политики и процедуры борьбы с вирусами, которые помогут предотвратить подобные атаки. Вы также должны спланировать с вон действия после того» как на вашу систему будет совершена вирусная атака.
Данные политики и процедуры должны быть разработаны до того, как произойдет вирусная атака. Они помогут вам:
понять степень серьезности и источник атаки;
защитить важные данные;
защитить системы и сети;
восстановить зараженные системы;
восстановить работоспособность вашей организации;
собрать информацию об атаке;
предотвратить дальнейшие разрушения;
проводить расследования инцидентов.
Политики и процедуры борьбы с вирусами
Приведенный в основном тексте список хорошо поясняет причины, по которым нужно разработать политики борьбы с вирусами. Основное преимущество, получаемое в реальной жизни, состоит в том, что вы будете иметь четкий план действий в критической ситуации. Стресс, а иногда и паника, возникающие в случае серьезной атаки на вашу организацию, не способствуют хладнокровному и до конца осмысленному планированию.
На случай возникновения вирусной атаки, которая может вызвать серьезные повреждения, у вас должны быть запланированы процедуры, изолирующие инфицированные системы (такие системы должны быть немедленно отключены от общей сети). Если ваша антивирусная программа нс полностью удалила вирус из зараженной системы, то вы должны восстановить первоначальное состояние системы из надежной резервной копии, Также вам может понадобиться переустановить операционную систему и все приложения с помощью дистрибутивных дисков.
Совет Если в почтовый ящик пользователя попало инфицированное электронное письмо, то можно попробовать удалить его из этого почтового ящика с помощью утилиты Exnierge.exe, которая обычно находится в каталоге C:\Program Files\Exchsrvr\ bin. Если в вашей системе нет этой утилиты, то ее можно загрузить по адресу http://www, wicrosqfi,сот/exchange/2003/updates, Более подробную информацию о Exmerge.exe можно найти н статье Q265441 на сайте http://support.тicrosoftxom.
После восстановления системы вы должны убедиться, что она функционирует с нормальной производительностью. Для этого сравниваются текущие значения таких параметров, как коэффициенты доставки сообщений, с их значениями до восстановления системы. Также вы должны проверить систему на предмет повторного появления вируса.
Нелегальное проникновение спама — сигнал тревоги для администратора
Новый метод атак”，который обходит большинство брандмауэров и фильтров, блокирующих нежелательные рекламные рассылки (спам), использует службу Messenger на порту £/О尸(User Datagram Protocol) с номером 135. Данной службой пользуются администраторы для посылки сообщений пользователям (не путать с чат-клиентом Microsoft MSN, который устанавливается на клиентах Windows 2000, Windows NT и Windows ХР). Некоторые компании до сих пор используют данный метол рекламы, который называется NetBIOS-спамом, для продажи брандмауэров “ антивирусных программ. Ни такие компании, ни их продукты не появляются ни в одном рекомендуемом списке, выпускаемом солидными поставщиками программного обеспечения типа Microsoft. Тем не менее методом, с помощью которого сегодня рассылают спам, завтра могут воспользоваться для распространения червей. Если только служба Messenger явно не нужна (а на клиентских компьютерах, имеющих доступ в Интернет, такая необходимость возникает редко), то ее нужно отключать.
Обновления безопасности
Обновления безопасности (security updates)—— это программные обновления, устраняющие известные бреши в системе безопасности. Когда появляется новое обновление безопасности, вы должны сразу определиться, можно ли устанавливать это обновление в вашей
конкретной ситуации* Поставщики выпускают обновления безопасности для клиентского программного обеспечения (web-браузеры, клиентские операционные системы и т. п.) и для серверных систем (Windows Server 2003, Exchange Server 2003 и 工 nJ. Если операционная система Windows имеет уязвимости, то и Exchange нельзя считать защищенным.
Вы можете загружать обновления безопасности с web-сайтов компаний-производителей программного обеспечения. Обновления для Exchange можно найти по адресам htip://wm.т/crosoft.com/exchange/downloads и http://support,microsoft.com. Если ваша сис* тема настроена соответствующим образом, то вы можете автоматически получать сообщения о необходимости загрузки обновлений Windows. Попасть на сайт с обновлениями Windows можно с помощью пункта Windows Update в меню Start (Пуск)*
Для того чтобы быть в курсе выхода последних обновлений и заплат безопасности, вы можете также воспользоваться информационными сообщениями и специальными утилитами. В табл* 11-2 приведена информация о доступных службах информационных сообщений.
Табл, 11-2. Службы информациош!ых сообщений
Служба
Адрес
Microsoft Security Notification Service
h ttp://Hf ww. m icrosofi. corn/tech net/security/b uUeiin/natify.asp
Microsoft Security Wfeb site
力 ttp ://ww w. m『crosofi .com/securl ty
Microsoft Windows Update
http .〃卩4. win de wsupdate. m icrosofi. com/en/default. asp
В табл. 11-3 перечислены утилиты, помогающие поддерживать безопасность вашей системы.
Табл. 11-3. Утилиты безопасности
Утилита
Назначение
Адрес
Microsoft Baseline
Security Analyzer (MBSA)
Проверяет отсутствующие обновления, пустые или ненадежные пароли и другие уязвимости защиты на серверах с операционной системой Windows 2000 или выше, а также на Microsoft Internet Information Services (HS), Microsoft SQL Server и Microsoft Internet Explorer 5.01 или выше
http ://ww w. micrasoft, com/technet
Microsoft Software
Поддерживает доставку и установку
http 〃ww w. mi crosofi хот/
Update Services
на Wi nd о ws - ком п ь юте ры последних
windows2000/ windowsupdate/
(SUS)
критических обновлений
sus/default,asp
Microsoft Systems Management Server (SMS)
Автоматизирует распространение и установку рекомендованных обновлений безопасности для больших компаний
http ://www. "T icrosoft. coni/catalog
Сигнатуры вирусов
Вы должны поддерживать актуальность ваших программ и операционной системы. Если у вас установлена антивирусная программа сторонней фирмы, то ее также необходимо поддерживать в актуальном состоянии. Однако наиболее часто выполняемой задачей является загрузка вирусных сигнатур (или дефиниций) для новых разновидностей вирусов, которые регулярно появляются в Интернете. Сигнатуры позволяют идентифицировать вирусы, черви и трояны; они используются антивирусными программами для поиска и уничтожения вирусов.
Степень вашей защищенности от вирусов зависит от актуальности списка сигнатур, поэтому этот список тоже нужно периодически обновлять. В случае возникновения новой серьезной вирусной атаки соответствующие сигнатуры вирусов нужно загрузить как можно быстрее. При покупке антивирусной программы вам также следует приобрести лицензию для обновления вирусных сигнатур. Соответствующую процедуру следует уточнить у вашего распространителя антивирусного программного обеспечения.
Внимание! Вирусная атака может повториться через некоторое время после того, как вы «уничтожили» вирус. Например, вернувшийся из отпуска работник может открыть приложение к старому электронному письму и проблема возникнет вновь.
Лабораторная работа. Загрузка антивирусной программы
Как правило, перед покупкой той или иной антивирусной программы вы можете загрузить из Интернета ее ознакомительную версию. Прежде всего вам нужно проверить» поддерживает ли эта программа Exchange. На сайте Microsoft опубликован список рекомендуемых поставщиков антивирусных продуктов.
Упражнение 1 ・ Загрузка антивирусной программы
Для загрузки антивирусного программного обеспечения выполните следующие шаги:
Зайдите на web - стран if ну Л tip .〃屮 ww. m icrosoft.co m/exch ange/partners/an tivirus, asp,
Прочитайте дискламацию. Microsoft не предоставляет никаких гарантий относнтсль- но данных продуктов или служб.
Выберите поставщика (например, Symantec) и нажмите на гиперссылку.
Найдите страницу или другой ресурс, который позволит вам оценить нужную вам антивирусную программу.
Найдите ознакомительную версию (обычно она называется Trialware).
Заполните необходимые формы м загрузите установочный пакет ознакомительной версии в общедоступную папку на сервере. Установите ознакомительную версия на все компьютеры в вашей тестовой сети.
Узнайте цену лицензий и состав предоставляемых услуг. Проверьте периодичность загрузок вирусных дефиниций. Воспользуйтесь критериями, перечисленными в разделе «Выбор антивирусной программы» данной главы.
Повторите процедуру для других поставщиков антивирусов из списка.
Занятие 3. Защита почтовых ящиков
Защита почтовых яшиков — крайне важная задача, так как почтовые ящики, их параметры и содержимое являются объектами наивысшего риска внутри любой компании.
Изучив материал данного занятия, &ы сможете:
/ перечислить и оценить принципы зашиты почтовых ящиков:
объяснить, каким образом фильтрация сообщений может использоваться для борьбы с нежелательными письмами;
настраивать в Outlook механизм подавления нежелательных писем;
объяснить механизм фильтрации получателей и отправителей;
применять и настраивать фильтрацию получателей и отправителей.
Продолжительность занятия - около 45 минут.
Фильтрация сообщений
Нежелательные электронные письма коммерческого содержания (junk e-mail) отнимают время у пользователей, потребляют ресурсы памяти и снижают пропускную способность сети. Несмотря на то, что скорее всего у нас не получится полностью подавить нежелательные письма, вы можете использовать фильтрацию сообщений, чтобы снизить их количество. Цель фильтрации сообщений состоит в подавлении нежелательных писем без ограничения на прохождение обычных писем.
Примечание Нежелательные электронные письма иногда называют спамом. Вообще говоря, с технической точки зрения под спамом понимается любой тип нежелательной рекламы. Спам может появляться в виде электронных писем, всплывающих сообщений на web-сайтах и даже в виде обычных писем. Нежелательные электронные письма являются спамом, однако спам состоит нс только из нежелательных имеем.
При фильтрации сообщений проверяются заголовки и текст электронных писем, которые сравниваются с установленными ранее правилами для нежелательных писем. В состав Outlook 2003 и Outlook 蚀b Access (OWA) входит набор встроенных фильтров сообщений для распознавания нежелательных электронных писем коммерческого содержания. Обратиться к этим фильтрам можно через настройку зашиты от нежелательной почты (Junk E-Mail feature)^ где заполняются списки Trusted Senders (Надежные отправители), Trusted Recipients (Надежные получатели) и Junk Senders (Отправители нежслательных сообщений). Например, если отправитель находится в списке отправителей нежелательных сообщений, то его письмо перемещается в папку Junk E-Mail (Нежелательная почта) или удаляется. В Outlook 2003 режим фильтрации сообщений включен по умолчанию; обновления для встроенных фильтров сообщений обновляются фирмой Microsoft. Кроме этого Outlook и OWA позволяют заблокировать б HTML-
сообщениях внешнее содержимое (таким образом можно нейтрализовать вредоносный исполняемый код).
Exchange Server 2003 осушествляет фильтрацию, проверяя заголовки электронных писем и сравнивая их с установленными правилами фильтров. Для использования фильтрации в Exchange нужно сначала настроить свойства глобального объекта Message Delivery для создания глобальных фильтров* Затем вы должны настроить виртуальные серверы SMTP на использование этих глобальных фильтров.
Списки блокировки почты
В список блокировки почты заносятся доменные имена и IP-адреса известных ресурсов- распространителей спама. Вы можете поддерживать список нежелательной почты для вашей компании, либо регулярно обновляя глобальный список разрешений и отказов, либо подписавшись на списки Realtime Blackhole List или Relay Blocking List (RBL), которые поддерживаются сторонними компаниями тнпа Mail Abuse Prevention System (MAPS).
Примечание Более подробную информацию о MAPS можно найти на сервере htip://www. mail-abuse.org.
Списки блокировки почты нс могут полностью справиться с нежелательными письмами, так как отправители для отсылки таких писем пользуются различными тактиками (например, использование ложного IP-адреса или отправка писем через сторонний сервер). Списки нежелательной почты могут также блокировать корректные электронные письма, так как некоторые домены могут попасть в этот список случайно. Это может быть связано с тем, что данными доменами пользуются для транзитной пересылки почты (подобная сит)гация обсуждалась в главе 10 *§МТР~проток。”： Настройка и управление*).
Фильтрация подключений
С помощью фильтрации подключений вы можете проверить, не входят ли IP-адреса подключающегося сервера SMTP в списке RBL. Если это так, то Exchange Server 2003 будет отвергать письма от такого сервера для каждого получателя, нс входящего в спи* сок исключений. В Exchange Server 2003 можно настроить несколько правил для фильтрации сообщений и определить порядок, в котором эти правила будут применяться. Создание нескольких правил позволит вам использовать один и тот же 1 P-адрес в разных правилах — например, если вы подписаны на RBL-листы двух разных провайдеров. Кроме этого можно настроить исключения, разрешающие доставку сообщений определенным получателям или от определенного отправителя вне зависимости от записей в списке нежелательной почты.
При настройке фильтрации подоючений вы определяете правило, согласно которому SMTP выполняет DNS-понск в RBL. Когда электронное сообщение отсылается в вашу организацию, Exchange связывается с провайдером RBL. Затем провайдер проверяет наличие ресурсных записей в DNS и возвращает один из двух ответов:
Код состояния 127.0.0.Х Данный ответ означает, что 1Р~адрес найден в списке блокировки, а также определяет основание блокировки (например, известный нс-
точнмк распространения спама ним известный сервер транзитной рассылки сообщений),
Host not found (узел не найден) Данный ответ означает, что IP-адрес не найден в списке блокировки.
Оценка электронных писем
Если Exchange Server получает неаутемтифицированное электронное сообщение из внешнего источника, то он проверяет наличие IP-адреса источника письма в списках Accept (Принять) и Deny (Отклонить). Если IP-адрес находится в списке Deny, то письмо отвергается. Если IP-адреса нет ни в списке Accept, ни в списке Deny, то Exchange Server проверяет письмо по списку RBL. В случае наличия адреса в этом списке Exchange Server останавливает сообщение на уровне протокола,
В противном случае Exchange Server оценивает сообщения с помощью продуктов для борьбы со спамом или встраиваемых модулей, настроенных на транспортном уровне, от сторонних производителей. Если подобный продукт установлен, то он анализирует сообщение и назначает ему коэффициент SCL (Spam Confidence Level, урозень соответствия спаму), который показывает, с какой степенью вероятности сообщение может быть отнесено к нежелательной электронной почте коммерческого характера. Коэффициент SSL может принимать значения от 1 до 10 — чем ниже значение, тем выше вероятность того, что сообщение является спамом.
Outlook перемещает электронное письмо в хранилище информации и, в зависимое* ти от значения SLC и настроек Outlook для пользователя, либо доставляет письмо в папку, либо удаляет его. Если в Outlook установлен низкий уровень фильтрации (Low), то все сообщении со значением SCL, меньшим 4, будут помещаться в папку Junk E-Mail (Ие- желательиая почта). Если в Outlook установлен высокий уровень фильтрации (High), то в папку Junk E-Mail будут помещаться сообщения со значением SCL, меньшим 7.
Принципы защиты почтовых ящиков
При построении стратегии защиты почтовых яшиков Exchange Server 2003 вы должны следовать следующим принципам:
Оградите пользователей вне вашей структуры Exchange от получения электронных инеем, приходящих нзвне офиса Вы можете настроить SMTP-политику по умолчанию или создать SMTP-политики на уровне ^домен-домен^ таким образом, чтобы не отвечать на сообщения, приходящие извне офиса или перенаправлять подобные сообщения в Интернет.
Запретите пользователям получать электронные письма от неопознанных доменов или от заранее определенных ненадежных доменов Вы можете настроить виртуальные серверы на запрет сообщений от неопознанных доменов или от любого выбранного вами домена.
Ограничьте доступ к содержимому электронкой почты с помощью цифровой подписи и шифрования сообщений При использовании цифровых подписей и ил:фрования вы будете убеждены, что просмотреть содержимое сообщения может только тот пользователь, которому это сообщение предназначено.
Далите неавторизованных пользователей нз списков распространения (distribution lists) Вы можете настроить списки распространения таким образом, чтобы принимать почту только от пользователей, прошедших аутентификацию.
Фильтруйте несанкционированную почту Вы можете создать фильтр сообщений и применить его на всех виртуальных серверах. Фильтрацию можно производить по отправителю, получателю или домену.
Боритесь с нежелательной электронной почтой Вы можете искать во входящей или исходящей почте определенные слова, фразы или отправителей. В OWA и Outlook 2003 можно настроить различные режимы обработки нежелательной почты.
Фильтрация получателей и отправителей
Вы можете заблокировать ненужную электронную почту по IP-адресам, адресам электронной почты отправителей или получателей или по домену электронной почты. Блокируется электронная почта путем настройки списков Accept (Принять) и Deny (Отклонить) с помощью глобального объекта Message Delivery. После настройки данный глобальный объект применяется к каждому отдельному виртуальному серверу.
Фильтрация получателей
Для уменьшения количества нежелательной почты вы можете настроить фильтрацию получателей. Можно фильтровать электронные письма, адресованные пользователям, которых нет в AD или которые не имеют разрешений на посылку электронных сообщений. Exchange Server 2003 будет отклонять на уровне протокола все входящие письма, которые будут удовлетворять определенному условию, н возвращать ошибку 550. Также вы можете воспользоваться фильтрацией получателей для выделения из обшей массы писем, отправляемых хорошо известным получателям типа rooi^domain или inei@domain (подобные письма являются признаком нежелательной коммерческой рассылки).
Примечание Фильтрация получателей применяется только к анонимным подключениям. Пользователи, прошедшие аутентификацию, и другие серверы Exchange игнорируют данные правила.
Фильтрация отправителей
Фильтрация отправителей уменьшает количество нежелательной почты, позволяя создавать фильтры, основанные на адресе отправителя сообщения. Вы можете, например, фильтровать сообщения, посылаемые on ределенн ы м и пользователями, или сообщения без адреса отправителя* Если адрес отправителя удовлетворяет условию фильтра, то вы можете архивировать такие сообщения или обрывать установленное соединение.
Лабораторная работа. Настройка защиты от нежелательной почты (Junk E-Mail Feature) в Outlook 2003 и включение фильтрации подключений
В данной лабораторной работе вы установите уровень защиты от нежелательной почты в Outlook 2003, а также включите и настроите режим фильтрации подключений на наших серверах интерфейса.
Упражнение 1. Настройка защиты от нежелательной почты в Outlook 2003
Для настройки защиты от нежелательной почты в Outlook 2003 выполните следующие шаги:
L Запустите Outlook.
В меню Tools (Сервис) выберите Options (Параметры).
Щелкните мышью ссылку Junk E-Mail (Нежелательная почта) на вкладке Preferences (Настройки).
Установите нужный уровень защиты (№ Protection (Нет автоматической фильтрации), Zow (Низкий), High (Высокий) или Safe Lists Only (Только списки надежных адресатов)).
Если вы вместо перемешения нежелательной почты в соответствующую папку хотите удалять ее, то ну*но установить соответствующий флажок.
Выбирая соответствующие закладки, добавьте записи в списки Trusted Senders (Надежные отправители), Trusted Recipients (Надежные получатели) и Junk Senders (Распространители нежелательной почты). Также вы можете импортировать записи мз текстового файла и экспортировать записи в текстовый файл.
Нажмите ОК.
Упражнение 2. Включение фильтрации подключений
В этом упражнении вы настроите Exchange Server 2003 на включение фильтрации сообщений на Serveг02. после чего заблокируете получение почты от пользователя- злоумышлснника и от распространителя нежелательной понты. Отметям, что здесь для провайдера RBL-списка, пользоватсля-злоулгышленника и распространителя нежелательной почты используются вымышленные имена*
Для включения фильтрации подключений выполните следуюшие шаги:
Откройте Exchange System Manager и нажмите Global Settings (Глобальные параметры).
В панели сведений щелкните правой кнопкой мыши на Message Delivery (Доставка сообщений), затем выберите пункт Properties (Свойства).
Перейдите на вкладку Connection Filtering (<Рн л орания сообщений).
Нажмите Add (Добавить).
5* В диалоговом окне Connection Filtering Rule (Правило фильтрации подключений) в поле Display Name (Отображаемое имя) введите Block list Provider. В поле DNS Suffix Of Provider (DNS-суффикс провайдера) наберите contosoblocklisls.com и нажмите ОК.
Нажмите ОК для закрытия диалогового окна Message Delivery Properties (Параметры доставки сообщений).
Прочитайте сообщение в диалоговом окне Exchange System Manager dialog и нажмите OK.
В Exchange System Manager перейдите к Administrative Groups\First Administrative Group\Servers\Server02\Proiocols\SMTR
Шелкните правой кнопкой мыши на Default SMTP Virtual Server (Виртуальный сервер SMTP no умолчанию) и выберите в контекстном меню пункт Properties (Свойства).
Нажмите Advanced (Дополнительно) на вкладке General (Общие) в диалоговом окне Default SMTP Virlual Server Properties (Свойства виртуального сервера SMTP по умолчанию).
Н* Нажмите Edit (Изменить) в диалоговом окне Advanced (Дополнительно).
В диалоговом окне Identification (Идеитификация) установите флажок Apply Connection Filter (Применять фильтр подключений), как показано на рис. И-4, и нажмите ОК.
Рис. 11-4. Установка фильтрации подключений
В диалоговом окне Advanced (Дополнительно) проверьте, что Filter Enabled (Фильтр включен) установлен в №s (Дл), и нажмите ОК.
Нажмите ОК для закрытия диалогового окна Default SMTP Virtual Server Properties (Свойства виртуального сервера SMTP по умолчанию).
Упражнение 3. Блокирование адреса электронной почты и домена
Для блокировки определенного адреса электронной почты и домена известного распространителя нежелательной почты выделите следующие шаги:
Откройте Exchange System Manager.
В дереве консоли щелкните мышью на пункт Global Settings (Глобальные параметры).
В панели сведений щелкните правой кнопкой мыши на Message Delivery (Доставка сообщений) и выберите в контекстном меню пункт Properties (Свойства).
Перейдите на вкладку Sender Filtering (Фильтраиия отправителей) в диалоговом окне Message Delivery Properties (Параметры поставки сообщений).
Нажмите Add (Добавить).
В диалоговом окне Add Sender (Добавление отправителя) введите donhall^nwtraders. сот, как показано на рнс. 11-5, и нажмите ОК.
Рис. 11-5, Блокировка электронной почты от определенного пользователя
Убедитесь^ что в диалоговом окне Message Delivery Properties (Параметры доставки сообщений) установлен флажок Drop Connection If Address Matches Filter (Обрывать подключение, если адрес удовлетворяет условию фильтра), и нажмите ОК.
В диалоговом окне Mhrniug (Сообщение) нажмите ОК, чтобы подтвердить применение фильтра на виртуальном сервере.
В Exchange System Manager перейдите к Administrative Groups\First Administrative Group\Scrvers\Server02\Protocols\SMTR
Щелкните правой кнопкой мыши на Default SMTP Virtual Server (Виртуальный сервер SMTP по умолчанию) и выберите в контекстном меню пункт Properties (Свойства).
L Перейдите в диалоговом окне Default SMTP Virtual Server Properties (Свойства виртуального сервера SMTP по умолчаиию) на вкладку Access (Доступ).
Нажмите Connection (Подключение).
Убедитесь, что в диалоговом окне Connection (Подключение) выделен пункт АП Except The List Below (Все, за исключением нижеприведенного списка), затем нажмите Add (Добавить).
Щелкните мышью Domain (Домен) в диалоговом окне Computer (Компьютер), затем нажмите ОК в ответ на предупреждение о том, что данная настройка является ресурсоемкой» наберите trey research tcom^ как показано на рис. 11-6, затем нажмите ОК.
Add one ol thefoeowng to the Ы 广 Singfe ootnputerIP ^dd^w •Add one ol thefoeowng to the Ы 广 Singfe ootnputerIP ^dd^w •口旦 5 UxAup- I口旦 5 UxAup- I「応ow & conipuktf；与-n®史仙睇筝「応ow & conipuktf；与-n®史仙睇筝3心审шв^<3心审шв^<命 QomainI treyrese3fch.com命 QomainI treyrese3fch.com
Add one ol thefoeowng to the Ы 广 Singfe ootnputer
IP ^dd^w •
Add one ol thefoeowng to the Ы 广 Singfe ootnputer
IP ^dd^w •
口旦 5 UxAup- I
口旦 5 UxAup- I
「応ow & conipuktf；与-n®史仙睇筝
「応ow & conipuktf；与-n®史仙睇筝
3心审шв^<
3心审шв^<
命 Qomain
I treyrese3fch.com
命 Qomain
I treyrese3fch.com
Рис. ] 1-6. Блокирование электронной почты от домена
Нажмите ОК в диалоговом окне Connection (Подключение).
16* Выберите вкладку General (Общие) в диалоговом окне Default SMTP Virtual Server Properties (Свойства виртуального сервера SMTP по умолчанию) и нажмите /\dvanced (Дополнительно).
Нажмите Edit (Изменить).
В диалоговом окне Identification (Идентификация) установите флажок Apply Sender Filter (Применять фильтр отправителей) и нажмите ОК.
Нажмите ОК для закрытия диалогового окна Advanced (Дополнительно).
Нажмите ОК для закрытия диалогового окна Default SMTP Virtual Server Properties (Свойства виртуального сервера SMTP по умолчанию).
Занятие 4. Реализация механизмов цифровой подписи и шифрования
На данном занятии описываются механизмы цифровых подписей и шифрования, а также объясняется, каким образом эти механизмы повышают уровень безопасности Exchange Server 2003. Кроме этого на занятии показывается, каким образом используется инфраструктура открытых ключей (public key infrastructure, PKI) для отправки подписанных и ^шифрованных электрон пых сообщений, и описываются компоненты PKI. Наконец, на занятии объясняется, каким образом включаются механизмы цифровой подписи и шифрования с помошью автоматического запроса сертификатов (enrollment process).
Изучив материал данного занятия, вы смажете:
объяснить, что из себя представляют механизмы цифровой подписи и шифрования;
объяснить, что такое РК1;
описать компоненты PKI, реализующие механизмы цифровых подписей и шифрования;
описать как включаются механизмы цифровой подписи н шифрования с помощью автоматического запроса сертификатов;
описать процессы создания и распространения цифровых подписей и сертификатов шифрования;
настраивать функции цифровой подписи и шифрования в Outlook.
Продолжительность занятия 一 около 30 минут.
Цифровая подпись и шифрование
Цифровая подпись и шифрование позволяют вам повысить уровень безопасности почтовой системы, защищая электронные письма от злоумышленного изменения и несанкционированного ознакомления во время передачи от отправителя к получателю*
Цифровая подпись (digital signature)—— это код, который включается в электронное письмо и однозначно идентифицирует отправителя. Данный код присоединяется к содержимому письма, поэтому любое изменение содержимого во время пересылки письма повлияет на эту персональную подпись.
Вы можете защищать электронное письмо от несанкционированного ознакомления с помощью шифрования (encryption). Шифрование — это криптографическая процедура, преобразующая содержимое электронного письма в нечитаемый формат. Существует много разных тнпон шифрования. В Exchange реализовано шифрование с применением открытых ключей (открытый ключ (public key) здесь известен всем, а закрытый ключ (private key) — только получателю сообщения).
Например* когда Дон Холл (Don Hall) хочет отправить защищенное письмо Ким Экер (Kim Akers), он использует для шифрования письма открытый ключ, принадлежащий Ким* Для расшифровки письма, пришедшего от Дона, Ким использует свой закрытый ключ, известный только ей. Если при шифровании сообщений применяется открытый ключ, то расшифровать такие сообщения можно только с помощью соответствующего закрытого ключа. Даже если вы владеете открытым ключом、закрытый ключ подобрать практически невозможно.
Закрытые ключи
В реальной жизни все принимаемые меры безопасности должны как можно сильнее затруднять взлом системы злоумышленниками. При этом следует помнить, что нет предела человеческой изобретатсльности и никакая система нс является совершенной. Помните также, что закрытый ключ эффективен только тогда, когда его не знает никто, кроме владельца. Чем дольше существует закрытый ключ, тем выше вероятность его компрометации.
В Exchange Server 2003 и Outlook 2003 механизмы цифровой подписи и шифрования реализованы с помошью протокола S/MIME(Secure Multi-Purpose Internet Mail Extensions, безопасные многоиелевые Интернет-расширения почты), являющегося поддерживающей шифрование версией протокола MIME.
Инфраструктура открытых ключей
РК! (public key infrastnicture, инфраструктура открытых ключей) — это политика, мс- пользуемая для реализации безопасного метода обмена информацией. С другой стороны, РК1 — это интегрированный набор служб и административных утилит для создания, распространения и управления работающими с ключами приложениями. Инфраструктура открытых ключей включает в себя криптографические методы и систему управления процессом, позволяющим идентифицировать пользователей и обмениваться данными в защищенном режиме.
Реализованные в PKI механизмы подписи и шифрованна позволяют вам повысить уровень безопасности структуры Exchange Server 2003, зашишая электронные письма от прочтения пользователями, которым они не предназначены, а также от изменения пользователями, которые не отправляли это письмо, во время передачи письма н во время хранения письма на клиентской машине в pst-файле или в почтовом яшике на сервере Exchange.
В РК1 входят компоненты, реализующие функции цифровой подписи и шифрования. Компоненты PKI перечислены в табл. 11-4.
Табл. 11-4. Компоненты РК1
Компонент РК〕Компонент РК〕ОписаниеОписание
Компонент РК〕
Компонент РК〕
Описание
Описание
Цифровой сертификат (Digital certificate)Цифровой сертификат (Digital certificate)Аутентифиннрует пользователей и компьютерыАутентифиннрует пользователей и компьютерыШаблон сертификата (Certificate template)Шаблон сертификата (Certificate template)Определяет содержимое и назначение сертификата. Обычно для цифровых подписей создается один шаблон сертификата, а для шифрования ——другой сертификат. Однако и для подписей, и для шифрования можно использовать один и тот же шаблонОпределяет содержимое и назначение сертификата. Обычно для цифровых подписей создается один шаблон сертификата, а для шифрования ——другой сертификат. Однако и для подписей, и для шифрования можно использовать один и тот же шаблон
Цифровой сертификат (Digital certificate)
Цифровой сертификат (Digital certificate)
Аутентифиннрует пользователей и компьютеры
Аутентифиннрует пользователей и компьютеры
Шаблон сертификата (Certificate template)
Шаблон сертификата (Certificate template)
Определяет содержимое и назначение сертификата. Обычно для цифровых подписей создается один шаблон сертификата, а для шифрования ——другой сертификат. Однако и для подписей, и для шифрования можно использовать один и тот же шаблон
Определяет содержимое и назначение сертификата. Обычно для цифровых подписей создается один шаблон сертификата, а для шифрования ——другой сертификат. Однако и для подписей, и для шифрования можно использовать один и тот же шаблон
Табл. 11-4. (окончание)Табл. 11-4. (окончание)Компонент PKIКомпонент PKIОписаниеОписаниеСписок аннулирования сертификатов (Certificate revocation list, CRL)Центр сертификации (Certificate authority, CA)Точки публикации серти- фи катов (Certificate publication points) и точки распространения CRL (CRI. distribution points)Утилиты управления сертификатами и САСписок аннулирования сертификатов (Certificate revocation list, CRL)Центр сертификации (Certificate authority, CA)Точки публикации серти- фи катов (Certificate publication points) и точки распространения CRL (CRI. distribution points)Утилиты управления сертификатами и САПриложения и службы, пользующиеся открытыми ключамиСерверы сертификацииПриложения и службы, пользующиеся открытыми ключамиСерверы сертификацииПеречисляются сертификаты, которые отозваны СА раньше запл ан и ров а н кого срока
Табл. 11-4. (окончание)
Табл. 11-4. (окончание)
Компонент PKI
Компонент PKI
Описание
Описание
Список аннулирования сертификатов (Certificate revocation list, CRL)
Центр сертификации (Certificate authority, CA)
Точки публикации серти- фи катов (Certificate publication points) и точки распространения CRL (CRI. distribution points)
Утилиты управления сертификатами и СА
Список аннулирования сертификатов (Certificate revocation list, CRL)
Центр сертификации (Certificate authority, CA)
Точки публикации серти- фи катов (Certificate publication points) и точки распространения CRL (CRI. distribution points)
Утилиты управления сертификатами и СА
Приложения и службы, пользующиеся открытыми ключами
Серверы сертификации
Приложения и службы, пользующиеся открытыми ключами
Серверы сертификации
Выпускает сертификаты пользователям, компьютерам и службам, а также управляет этими сертификатами
Обеспечивает общедоступные хранилища для сертификатов и списков CRL. Доступ к сертификатам и CRL осуществляется с помощью служб каталогов (Х.500, LDAP и т. п.) или через каталоги, зависящие от версий операционной системы и web-ссрверов
Управляют выпущенными сертификатами, публикуют сертификаты и списки CRLt настраивают СА, импортируют н экспортируют сертификаты и ключи» а также восстанавливают мз архивов закрытые ключи
Используют сертификаты для электронной коммерции и защищенного доступа к сети с применением механизмов цифровых подписей и шифрования
Позволяют создавать, выпускать и управлять сертификатами с помощью служб Microsoft Certificate Services. Использование Certificate Services на платформе Windows Server 2003 c Exchange Server 2003 позволяет интегрировать всю функ- ниональность, связанную с сертификацией, в одну службу (в предыдущих версиях Exchange приходилось пользоваться несколькими службами типа Microsoft Key Management Service (КMS)). Преимущества серверов сертификации:
сертификаты выпускаются из единой точки, где поддерживаются архивные копии
копии всех закрытых ключей содержатся на сервере, что позволяет пользователям восстановить информацию о закрытом ключе в случае, если они не могут получить доступ к нему локально
серверы сертификации обеспечивают автоматическое развертывание сертификатов для авторизованных пользователей
а серверы сертификации импортируют архивные закрытые ключи и сертификаты в СА
Совет Когда PKJ проверяет корректность сертификата, происходит поиск этого сертификата в CRL. Если списка CRL нет, то может возникнуть ошибка. Поэтому для правильной работы РК1 вам предварительно нужно создать сертификат, а затем отозвать его.
Лабораторная работа. Развертывание сертификатов цифровой подписи и шифрования
Для того чтобы использовать сертификат для цифровых подписей или шифрования, вы должны с помощью настройки автоматического запроса (auto-enroIJment) развернуть сертификат в Exchange Server 2003, а также проверить конфигурацию Outlook. Перед началом этой лабораторной работы вам нужно получить сертификат (если его у вас еще нет). Для этого откройте Internet Explorer, перейдите на адрес Attp^/Serx^erOl/Certsrv и заполните диалоговые окна соответствующего мастера. Если ServerOI не является СА, вы должны поручить сертификат по Интернету от стороннего центра сертификации (например, VeriSign).
Упражнение 1. Реализация механизмов цифровой подписи и шифрования на платформе Exchange Server 2003
Для настройки механизмов цифровой подписи и шифрования в Exchange Server 2003 выполните следующие шаги:
L Откройте на сервере ServerOI консоль Certification Authority (Центр сертификации).
Разверните контейнер TbikpEtoys,
Щелкните правой кнопкой мыши на Certificate Templates (Шаблоны сертификатов), наведите мышь на New (Новм讣)и выберите пункт Certificate lemphte То Issue (Шаблон сертификата для выпуска).
В диалоговом окне Enable Certificate lemplates (Включить шаблоны сертификатов) щелкните мышью на Exchange User (Пользователь Exchange), после чего нажмите ОК.
В консоли Certification Authority (Центр сертификации) шелкните правой кнопкой мыши на Certificate Templates (Шаблоны сертификатов) и выберите в контекстном меню пункт Manage (Управление).
Шелкните правой кнопкой мыши на Exchange User (Пользователь Exchange) в панели сведений консоли Certificate Templates (Шаблоны сертификатов) и выберите в контекстном меню пункт Properties (Свойства).
Выберите в диалоговом окне User Properties (Свойства пользователя) вкладку Security (Беюпасность),
В поле Group Or User Names (Имена групп или пользователей) щелкните мышью на Authenticated Users (\&торизованныс пользователи).
В списке Permissions For Authenticated Users (Разрешения для авторизованных пользе* вателей) установите флажок Allow (Разрешить) для разрешения Enroll (Запрос сертификата), как показано на рис, 11-7, после чего нажмите ОК.
К). Сверните список Certificate lemplates (Шаблоны сертификатов) и закройте консоль Certification Authority (Центр сертификации).
Exchange User PropertiesExchange User Properties
Exchange User Properties
Exchange User Properties
Generfil | Ret^wsi Handing | Subi&cl Name | Eidetwons Seem触
Group or set names
侬 Authenlicated Use 昧
团 Domain Admim (TAl LSPINT DYS\D omam Admins |
©2 EiMeapitteAdHWt [TAILSPIN TOYSVErtKprise Admin®]
OK IIAncei ]州уOK IIAncei ]州уAjd. I Remove ]PermisMont lew Authentie*ted UsetsAfow DerwAjd. I Remove ]PermisMont lew Authentie*ted UsetsAfow DerwРис. 11-7. 11 редостав ление авториюванным [юльзо&ателям разрешения на запрос сертификата (в результате пользователи смогут подписывать и шифровать свои электронные письма)Рис. 11-7. 11 редостав ление авториюванным [юльзо&ателям разрешения на запрос сертификата (в результате пользователи смогут подписывать и шифровать свои электронные письма)□ □□□ □ □ой□ □□□ □ □ой
OK IIAncei ]州у
OK IIAncei ]州у
Ajd. I Remove ]
PermisMont lew Authentie*ted UsetsAfow Derw
Ajd. I Remove ]
PermisMont lew Authentie*ted UsetsAfow Derw
Рис. 11-7. 11 редостав ление авториюванным [юльзо&ателям разрешения на запрос сертификата (в результате пользователи смогут подписывать и шифровать свои электронные письма)
Рис. 11-7. 11 редостав ление авториюванным [юльзо&ателям разрешения на запрос сертификата (в результате пользователи смогут подписывать и шифровать свои электронные письма)
□ □□□ □ □ой
□ □□□ □ □ой
Упражнение 2. Настройка механизмов цифровой подписи
и шифрования в Outlook 2003
После развертывания сертификатов цифровой подписи и шифрования вы можете настроить Outlook на использование сертификатов для включения механизмов цифровой подписи и шифрования. Обычно такая настройка делается на рабочей станимм оиен- та. В нашей тестовой сети мы будем работать на сервере ServerOl.
Для настройки механизмов цифровой подписи и шифрования в Outlook выполните следующие шаги:
Откройте Outlook на ServerOl,
Выберите Options (Параметры) в меню Tools (Сервис).
В диалоговом окне Options (Параметры) перейдите на вкладку Security (Безопасность) и нажмите Settings (Параметры).
В поле Security Settings Name (Название настроек безопасности) введите название цифрового сертификата электронной почты (например, mail-ceiiificate) или согла* ситесь с названием по умолчанию.
В группе Certificates and Algorithms (Сертификаты и алгоритмы) в панели Signing Certificate (Сертификат для подписи) щелкните мышью на Choose (Выбрать) для пункта Signing Certificate (Сертификат для подписи), выберите нужный сертификат для подписи и затем в поле Hash Algorithm (Алгоритм хэширования) выберите нужный алгоритм.
В группе Certificates and Algorithms (Сертификаты и алгоритмы) в панели Signing Certificate (Сертификат для подписи) щелкните мышью на Choose (Выбрать) для пункта Encryption Certificate (Сертификат для шифрования), выберите нужный сертификат для шифрования и затем в поле Hash Algorithm (Алгоритм хэширования) выберите нужный алгоритм.
Нажмите ОК для закрытия диалогового окна Change Security Settings (Изменение параметров безопасности).
На в о адкс Security (Безопасность) в группе Encrypted (Шифрованная электронная почта) установите или сбросьте соотастствующие флажки. На рис. 11-8 показаны возможные варианты.
Рис. 11-8. Параметры шифрования и подписи
Нажмите ОК для закрытия диалогового окна Options (Параметры),
Совет Если СА выпустил для вас многоцелевой сертификат, то вы можете указать один и тот же сертификат как в поле Signing Certificate (Сертификат д*чя подписи), так и в поле Encryption Certificate (Сертификат для шифрования).
Занятие 5. Настройка административных разрешений
На данном занятии рассказывается об административных группах и о том, как создавать такие группы. После этого объясняется настройка административных разрешений с помощью мастера Exchange Administration Delegation Wizard (Делегирование административных полномочий Exchange).
Изучив материал данного занятий] вы сможете:
объяснить функции и назначении административных групп;
объяснить, куда добавляется новый компьютер, на котором запущен Exchange Server;
создать а дм и н и стр ати в ную группу；
предоставлять адм и н истрати в н ы е разрешения на Exchange Server с помощью мастера Exchange Administration Delegation Wizard：
настраивать до л ол н итсл ьные разрешения безопасности.
Продолжительность занятия - около 45 минут.
Административные группы
Административная группа ——это набор объектов Exchange Server 2003, собранных вместе в целях управления разрешениями и их делегирования. Административная группа может содержать серверы, группы маршрутизации, политики н иерархические структуры обших папок. Еслн, например, в вашей организации работают два администратора, каждый из которых управляет группой серверов Exchange Server 2003, то можно создать две административные группы. Затем вы можете делегировать разрешения каждому из администраторов.
Можно создать административные группы для поддержания разных административных моделей (централизованной, децентрализованной или смешанной). Отметим, что административная группа — это не группа администраторов, а группа объектов администрирования. В число зтнх объектов входят следующие:
объекты системной политики;
объекты-группы маршрутизации：
объекты-деревья общих папок;
объекты-серверы.
Добавление административной группы Exchange
При развертывании структуры Exchange Server 2003 вы автоматически создаете контейнер First Administrative Group (Первая административная группа); в эту группу добавляется сервер Exchange Server 2003. Если в дальнейшем вы добавите в вашу структуру Exchange новый компьютер, на котором запущен Exchange Server 2003, то этот компьютер также будет добавлен в данную административную группу.
Если, однако, вы создаете дополнительные административные группы до добавления серверов, то программа установки попросит вас выбрать административную группу, в которую будут добавляться все до пол нительные серверы. Для создания административной группы в приведенной ниже лабораторной работе вы будете пользоваться контейнером Administrative Groups (Административные группы).
Примечание По умолчанию контейнер Administrative Groups (Административные группы) не отображается в Exchange Server 2003. Для вывода на экран этого контейнера нужно открыть Exchange System Manager и установить флажок Display Administrative Groups (Отображать административные группы) в диалоговом окне Properties (Свойства) для объекта Organization (Организация). Это было сделано в лабораторной работе в предыдущей главе; данная операция обычно является одной из первых задач, выполняемых администратором Exchange Server 2003. Поэтому легко забыть, что перед созданием новой административной группы нужно вначале отобразить этот контейнер на экране.
Мастер Exchange Administration Delegation Wizard
Административные полномочия Exchange позволяют администраторам выполнять определенные операции в Exchange Server 2003. С помощью мастера Exchange Administration Delegation Wizard (Делегирование административных полномочий Exchange) вы можете выбрать пользователей или группы н предоставить им административные разрешения на объекты в вашей структуре Exchange. Это делает администрирование Exchange более безопасным, так как вы указываете, кто может получить доступ к тем или иным объектам Exchange.
Вы можете запустить мастер Exchange Administration Delegation Wizard из объекта Organization (Организация) или из объекта-административной группы. Если мастер запущен из объекта Organization (Организация), то назначаемые вами разрешения будут распространены вниз по иерархии на все объекты в организации. С другой стороны, если вы запустите этот мастер из объскта-административной группы, то назначаемые вами разрешения будут распространены на все объекты в данной административной группе. Кроме этого, в последнем случае разрешения также назначаются объектам, находящимся в иерархии выше этой административной группы (данные разрешения будут доступны только для чтения). Это позволяет администратору просматривать иерархию. Для использования мастера Exchange Administration Delegation Wizard вы должны являться полным администратором Exchange (разрешение Exchange Full Administrator) на уровне организации.
Совет Разрешения, доступные только для чтения, не показываются в Exchange System Manager. Вы можете увидеть их с помощью утилиты Adsiedit.exe.
Роли и соответствующие полномочия
Мастер Exchange Administration Delegation Wizard поддерживает следующие роли:
Exchange Full Administrator (Полный администратор Exchange) Полные администраторы Exchange могут управлять системной информацией Exchange, Они могут добавлять, удалять и переименовывать объекты, а также изменять разрешения. Данную роль необходимо делегировать администраторам, которым нужно настраивать вашу почтовую систему Exchange и контролировать доступ к ней.
Exchange Administrator (Администратор Exchange) Администраторы Exchange могут управлять системной информацией Exchange, однако не могут изменять разрешения.
Данную роль необходимо делегировать пользователям или группам, которые отвечают за выполнение ежедневных администраторских задач типа добавления, удале* ния и переименования объектов.
Exchange View Only Administrator (Администратор Exchange с правами просмотра) Мм и н истраторы Exchange с правами просмотра могут просмотреть конфигурационную информацию Exchange. Данную роль необходимо делегировать администраторам, которым не нужно изменять объекты Exchange.
Подготовка к экзамену Очень часто полных администраторов Exchange называют просто администраторами Exchange, хотя это и не совсем корректно. Если же в экзаменационном вопросе говорится, что кто-то является администратором Exchange, то это означает, что данному пользователю не назначена роль Exchange Full Administrator.
В дополнение к ролям, назначаемым н мастере Exchange Administration Delegation Wizard, для администрирования Exchange необходимо являться членом других групп Windows Server 2003. Например, если вы хотите предоставить администратору право на запнсь объектов в организации или административной группе, то он должен являться локальным администратором на каждом сервере Exchange Server 2003, которым ему нужно управлять.
При создании структуры Exchange Server 2003 автоматически создаются группы Exchange Domain Severs (Серверы домена Exchange) и Exchange Enterprise Servers (Серверы организации Exchange). Этим двум группам назначены разрешения, позволяющие серверам Exchange получать доступ к настройкам Exchange и информации о получателях в AD, Эти системные группы предназначены только для Exchange, и вы не должны использовать их для предоставления привилегий пользователям или группам.
Дополнительные разрешения безопасности
По умолчанию в Exchange Server 2003 дочерний объект наследует разрешения от своего родительского объекта. Дополнительные разрешения безопасности позволяют установить дополнительный административный контроль, разрешая вам изменять или отменять наследуемые разрешения. Например, если вы создаете новую группу маршрутизации, то она будет наследовать разрешения от адм ин и страти иной группы, в которой она создается. Если вы хотите назначить другие разрешения новому объекту-группе маршрутизации, то вы можете открыть для этого объекта диалоговое окно Properties (Свойства) и с помошъю пункта Advanced (Дополнительно) на вкладке Security (Безопасность) заблокировать наследование разрешений.
Также можно запретить назначение дочерним объектам наследуемых разрешений путем изменения настроек контроля доступа. Для каждого параметра контроля доступа вы можете указать, должны ли разрешения применяться только к данному объекту или к объекту и его дочерним объектам.
Если вы удаляете наследуемые разрешения и указываете, что разрешения должны применяться только к родительскому объекту, то дочерние объекты останутся без разрешений (неявный запрет (Deny) разрешений). Удаление разрешений делает невозможным доступ к объектам Exchange в Exchange System Manager. Тем не менее, вы можете восстановить разрешения с помощью утилиты Adsiedit.exe.
Утилита Adsiedit.exe
Для назначения дополнительных разрешений безопасности, которые нельзя назначить с помощью Exchange System Manager или Active Directory Users And Computers, можно воспользоваться M МС-оснасткой Active Directory Services Inteiface (ADSl) Edit、также известной как утилита Adsiedit.exe, Данная утилита позволяет, например, назначить для контейнера Administrative Groups разрешения, которые были распространены на новые дочерние административные группы.
Лабораторная работа. Создание и использование административной группы
В данной лабораторной работе вы создадите дополнительную административную группу и делегируете контроль над этой группой пользователю Дону Холлу (Don Hall). Учетная запись для Дона Холла должна была быть создана в главе 9 «Виртуальные серверы*. Если у вас нет такой учетной записи, то се нужно создать перед началом выполнения данной лабораторной работы.
Упражнение 1. Создание административной группы
В данном упражнении вы создадите административную группу. Данная группа потребуется для выполнения последующих упражнений.
Для создания административной группы выполните следующие шаги:
Откройте Exchange System Manager.
Щелкните правой кнопкой мыши на Administrative Groups (Административные группы)» щелкните мышью на New (Новый) и выберите пункт Administrative Group (Административная группа).
В диалоговом окне Properties (Свойства) наберите NewAdmin и нажмите ОК.
В дереве консоли разверните пункт Administrative Groups (Административные группы), шел кните правой кнопкой мыши на New Admin, щелкните мышью на New (Новый) и выберите пункт System Policy Container (Контейнер системной политики).
Разверните пункт HewAdtnin и проверьте, что там имеется контейнер System Policies (Системные политики).
Щелкните правой кнопкой мыши на контейнере System Policies (Системные политики) под NewAdmE、щелкните мышью на New (Новый) и выберите пункт Mailbox Store Policy (Политика хранилища почтовых ящикон).
Включите все четыре страницы Property (Свойство) в диалоговом окне New Policy (Новая политика), после чего нажмите ОК.
Введите название политики, например New ММ
Настройте нужным образом параметры на вкладках диалогового окна Properties (Свойства), На рис. 11-9 показана возможная конфигурация вкладки Limits (Policy) (Ограничения (Политика)).
После настройки политики Mailbox (Почтовый ящик) нажмите ОК.
Используя аналогичную процедуру, создайте политики Public Store (Общее хранилище) и Server (Сервер).
Рис. 11-9. Настройка полмтнкм ограничений
Совет С помощью данной процедуры новые политики создаются с нуля. Если же политики уже существуют (например, в контейнере First Administrative Group's System Policies (Системные политики первой административной группы)), то вы можете скопировать их, вставить в новый контейнер System Policies (Системные политики) и изменить нужным образом.
Упражнение 2・ Делегирование контроля над административной группой
В данном упражнении вы делегируете Дону Холлу (Don Hall) контроль над административной группой NewAdmin, Для этой администратианой группы вы назначите Дону роль Exchange Adrninistraior (Администратор Exchange), но не роль Exchange Full A dm inistrator (П ол н ы й администратор Exchange), Еслн административная группа NewAdmin не существует, то вам нужно создать ее, выполнив предыдущее упражнение. Если у вас имеется только одна административная группа, то делегировать контроль не удастся.
Для делегирования контроля над административной группой выполните следующие шаги:
Откройте Exchange System Manager н разверните пункт Administrative Groups (Административные группы).
В дереве консоли щелкните правой кнопкой мыши иа New Admin и выберите в контекстном меню пункт Delegate Control (Делегировать контроль).
Откроется мастер Exchange Administration Delegation Wizard (Делегирозание адм и ни с* траторских полномочий Exchange). Нажмите на первой странице (Wslccme) кнопку Next (Далее).
На странице Users Or Groups (Пользователи или группы) нажмите кнопку Add (Добавить).
В диалоговом окне Delegate Control (Делегировать контроль) нажмите Browse (Просмотр).
В диалоговом окне Select Users, Computers Or Groups (Выбор пользователей, компьютеров или групп) наберите Don Hall. Нажмите Check Names (Проверить имена) для проверки существования учетной записи Дона Холла (см. рис. 11-10), после чего нажмите ОК.
Рис. 11-10. Делегирование контроля пользователю Don Hall
В диалоговом окне Delegate Control (Делегировать контроль) щелкните мышью в списке Role (Роль) на пункте Exchange Administrator (Администратор Exchange), затем нажмите ОК.
Нажмите кнопку Next (Далее) на странице Users Or Groups (Пользователи или группы).
Нажмите Finish (Готово).
Прочитайте предупреждение в диалоговом окне Exchange System Manager и нажмите ОК.
Подготовка к экзамену Запомните: администратор Exchange также должен являться членом локальной группы администраторов на каждом сервере Exchange Server 2003, который он администрирует. Будьте внимательны, чтобы не пропустить данный шаг в процедурах, описанных в экзаменационных примерах.
Откройте на сервере ServerOl оснастку Active Directory Users And Computers (Пользователи и компьютеры Active Directory).
Разверните пункт с названием домена и щелкните мышью на контейнере Users (Пользователи). В панели сведений щелкните правой кнопкой мыши на Don Hall и выберите в контекстном меню пункт Properties (Свойства).
В диалоговом окне Don Hall Properties (Свойства учетной записи Don Hall) нажмите кнопку Member Of (Членство в группах).
На вкладке Member Of (Членство в группах) нажмите кнопку Add (Добавить).
В диалоговом окне Select Groups (Выбор групп) наберите Administrators. Нажмите Check Names (Проверить имена) для проверки существования группы, после чего нажмите ОК.
В диалоговом окне Don Hall Properties (Свойства учетной записи Don Hall) нажмите ОК.
Примечание Так как наша тестовая сеть состоит всего из двух компьютеров, Дон Холл был добавлен в группу Administrators на контроллере домена. В реальной сети этого делать нс следует. Администраторы Exchange должны добавляться в группы Administrators на серверах Exchange, входящих в административную группу, которой управляют эти администраторы. В рабочем режиме Exchange не следует устанавливать на контроллер домена.
Упражнение 3. Настройка дополнительных разрешений безопасности
В этом упражнении вы включите вкладку Security (Безопасность) для всех объектов Exchange и настроите дополнительные разрешения безопасности для пользователя Ким Экерс (Kim Akers), Если для данного пользователя еще нс создана учетная запись, необходимо проделать эту операцию до выполнения упражнения.
Примечание По умолчанию утилита поддержки ADSI не устанавливается. Для выполнения данной лабораторной работы вам нужно установить утилиты поддержки Windows Server 2003. Установочный файл находится в каталоге Support^ools на компакт-диске Windows Server 2003,
Для настройки дополнительных разрешений безопасности выполните следующие шапс
На сервере SenerOl выберите в меню Start (Пуск) пункт Run (Выполнить) наберите regedit и нажмите ОК.
Перейдите к разделу реестра НКЕY_CURRENT_USER\Software\Microsoft\Exchange.
Разверните пункт Exchange, щелкните правой кнопкой мыши на EXAdmin, щелкните мышью на New (Новый) и выберите пункт DWORD \^lue (Параметр DWORD).
Измените название параметра New Value #/ на ShоwSecurityPage и нажмите
<Enter>.
Дважды щелкните мышью на ShowSecurityPage. В диалоговом окне Edit DWORD Wlue (Изменение параметра DWORD) в поле 必Iue Data (Значение) наберите 1, как показано на рис. 11-11, и нажмите ОК.
Рис. 11-11. Создание в реестре ключа ShowSecurityPage
Закройте редактор реестра.
Выберите в меню Start (Пуск) пункт Run (Выполнить), введите ттс и нажмите ОК.
В консоли ММС выберите в меню File (Файл) пункт /\dd/Remove Snap-In (Добавить/ удалить оснастку).
В диалоговом окне Add/Remove Snap"n (Добавить/удалить оснастку) нажмите Add (Добавить).
В диалоговом окне Add Standalone Snap-In (Добавить отдельную оснастку) выберите ADS1 Edit, нажмите Add (Добавить) и Close (Закрыть).
В диалоговом окне Add/Remove Snap-In (Добавить/удалить оснастку) нажмите ОК.
Щелкните правой кнопкой мыши на ADSI Edit it выберите в контекстном меню пункт Connect То (Подключиться к).
В диалоговом окне Connection Settings (Настройки подключения) выберите Configuration (Настройка) в панели Select A W3H Known Naming Context (Выбрать известный контекст именования) н нажмите ОК.
Перейдите к ADSI Edit\Configuration\CN=ConfigurationtDC=Tailspintoys,DC=com\ CN=Services\CN=Microsoit Exchange\CN^Tailspintoys. Щелкните правой кнопкой мыши на CN—Adminisiralive Groups и выберите в контекстном меню пункт Properties (Свойства).
Нажмите Add (Добавить) на вкладке Security (Безопасность).
В диалоговом окне Select Users, Computers, Or Groups (Выбрать пользователей, компьютеры или группы) наберите Kim Akers и нажмите ОК.
В диалоговом окне CN=Administrative Groups Properties (Свойства CN=Administrative Groups) нажмите Advanced (Дополнительно).
В диалоговом окне Advanced Security Settings For Administrative Groups (Дополнительные настройки безопасности для административных групп) выберите в списке Permission Entries (Записи для назначения разрешений) запись для К"м Экерс (Kim Akers) н нажмите Edit (Изменить).
В диалоговом окне Permission Entry For Administrative Groups (Запись дл* назначения разрешений для ад мн ни стративпых групп) выберите в раскрывающемся списке Apply Onto (Применить к) пункт This Object And All Child Objects (Данный объект и все дочерние объекты). Данное диалоговое окно показано на рис. 11-12. Нажмите ОК.
В диалоговом окне Advanced Security Settings For Administrative Groups (Дополнительные настройки безопасности для административных групп) сбросьте флажок Allow Inheritable Permissions From The Parent To Propagate To This Object And All Child Objects, Include These With All Entries Explicitly Defined Here (Разрешить рас1фостраиение наследуемых разрешений от родителя к данному объекту н всем дочерним объектам, добавляя их к явно заданным в этом окне) и нажмите ОК.
В диалоговом окне CN=Administrative Groups Properties (Свойства СN—Administгаtive Groups) нажмите OK.
С1^ ] Ртарвии I
UidM* Read At Prapeittti Wi*AI RropwtiMUidM* Read At Prapeittti Wi*AI RropwtiM□0И□口 □囱□□□□□〔□0И□口 □囱□□□□□〔3 J J 口口口口口口口口口口口口г』3 J J 口口口口口口口口口口口口г』Н*» I Km Akw・ |H.«ts@T /кТ с0 COMPwgf，]
UidM* Read At Prapeittti Wi*AI RropwtiM
UidM* Read At Prapeittti Wi*AI RropwtiM
□0И□口 □囱□□□□□〔
□0И□口 □囱□□□□□〔
3 J J 口口口口口口口口口口口口г』
3 J J 口口口口口口口口口口口口г』
D«№e SSee ЯЦРщпсроп*
ModJy PefB^tttonj MotWyOwei AlVMaiedMitM A|£xtwMMR«Qhg 口叱 AHOtf
p- AM^Jhwe Р*мш№ matiecte a4Vor «rtaneti KhinlHs certMintt arfci
] Dural
Рис. 11-12. Назначение Ким Экерс разрешений на все административные группы
Для проверки правильности настройки разрешений щелкните правой кнопкой мыши па любую административную группу в Exchange System Manager, выберите в контекстном меню пункт Properties (Свойства) и перейдите на вкладку Security (Безопасность). Убедитесь, что Ким Экерс имеет разрешения на эту административную группу.
Занятие 6. Отключение служб и журналирование протоколов
На этом занятии обсуждаются службы, используемые Exchange Server 2003, объясняются зависимости служб и рассказывается о том, какие службы можно отключить для повышения уровня безопасности Exchange. Также на занятии обсуждаются вопросы журналирования протоколов и использования подобного журналирования для аудита доступа на виртуальных серверах протоколов Exchange Server 2003,
Изучив материал данного занятия, вы сможете:
описать службы, используемые Exchange Server 2003;
объяснить, почему для запуска на Exchange Server 2003 следует разрешить только необходимые службы;
определять необходимые службы на сервере интерфейса Exchange;
определять необходимые службы на сервере хранилищ Exchange;
управлять журналированием протоколов на виртуальных серверах HTTR включая виртуальный сервер HTTP;
управлять журналированием протоколов на виртуальных серверах NNTP и SMTP.
Продолжительность занятия — около 30 минут.
Службы, используемые Exchange Server 2003
Exchange Server 2003 состоит из множества процессов, компонентов и служб, которые взаимодействуют между собой на локальном и удаленных компьютерах. Серверы Exchange должны взаимодействовать с другими серверами Exchange, контроллерами домена и клиентами разных типов. В зависимости от роли, исполняемой сервером Exchange, и типов поддерживаемых клиентов, некоторые из этих служб не используются и должны быть отключены. Отключение какой-либо службы повышает уровень безопасности, так как порты, которые использовались этой службой, становятся недоступными для атак.
Внимание! Отключение неиспользуемых служб повышает уровень безопасности. Однако, если какой-либо порт не используется, то лучше одновременно с остановкой всех служб, использующих этот порт, заблокировать его на брандмауэре. Если сервер находится в DMZ, то практически всегда заблокировать порт невозможно; в этом случае особенно ва*но отключить неиспользуемые службы.
Когда вы решаете, следует ли отключить определенную службу необходимо узнать, какие другие службы, процессы и компоненты зависят от этой службы. Иногда служба бывает не важна для выполнения базовых операций сервера Exchange, но отключение этой службы может снизить функциональность за счет отключения других полезных второстепенных служб.
Службы, не зависящие от роли
В основном набор необходимых служб Exchange Server 2003 зависит от роли сервера Exchange в вашей сети. Однако некоторые службы Exchange нужны для запуска программы установки, для выполнения адм и нистраторс ких функций, для функционирования маршрутизации и индексирования, а также для совместимости с предыдущими версиями продукта.
Переустановка и обновления
Для запуска установки Exchange Server 2003 нужно установить и включить следующие службы (запускать их необязательно):
NNTP;
SMTP;
XM^rld Wide Web Publishing Service;
[IS Admin Service.
Примечание Во время своей инсталляции Exchange Server 2003 устанавливает (но нс включает) свои собственные службы 1МАР4 и POP3, Exchange Server 2003 нельзя будет установить на платформе Windows 2003 Server до тех пор, пока не будет удалена служба Windows POP3 (если, конечно, эта служба установлена в системе).
По умолчанию программа установки Exchange Server 2003 отключает несколько служб. Однако если эти службы впоследствии будут включены, то их состояние не изменится во время переустановок или обновлений. Перечислим данные службы:
NNTP;
Microsoft Exchange 1МАР4;
Microsoft Exchange POP3.
Администрирование
Следующие службы необходимы для адм ин истри рован ия Exchange Server 2003:
Microsoft Exchange System Attendant;
Microsoft Exchange Management;
Windows Management Instrumentation.
Маршрутизация
Следующие службы требуются Exchange Server 2003 для маршрутизации сообщений:
Microsoft Exchange Routing Engine;
IIS Admin Service;
SMTP.
Совместимость
Следующие службы необходимы для поддержки совместимости с предыдущими версиями Exchange:
Microsoft Exchange Event Service;
Microsoft Exchange Site Replication Service;
Exchange MTA Stacks (только для совместимости c Exchange Server 5.5).
Дополнительные возможности
Следующие службы обеспечивают дополнительные возможности Exchange Server 2003:
Microsoft Search;
World Wide A\feb Publishing Service.
Службы на сервере интерфейса Exchange
Сервер интерфейса Exchange принимает запросы от клиентов и перенаправляет эти запросы для обработки соответствующему серверу хранилищ. Поэтому вы можете отключить многие службы Exchange, устанавливаемые по умолчанию.
Подготовка к экзамену Не пытайтесь запомнить, какие службы можно, а какие нельзя запретить на сервере хранилищ или сервере интерфейса Exchange, Вместо этого прочитайте и поймите причины, по которым можно определить, является ли та или иная служба важной. Зачастую на вопросы по данной теме можно ответить, руководствуясь здравым смыслом и общими понятиями.
На сервере интерфейса необходимы следующие службы:
Microsoft Exchange Routing Engine Данная служба необходима для выполнения маршрутизации Exchange.
IPSEC Services Данная служба обеспечивает защищенный обмен информацией между клиентами и серверами в TCP/IP-сстях. Вам понадобится эта служба, если вы будете настраивать на серверах OWA фильтр IPSec (Internet Protocol security).
IIS Admin Service Данная служба зависят от службы MSExchange routing engine; она необходима для выполнения маршрутизации Exchange.
World Wide Web Publishing Service Данная служба понадобится вам в случае взаимодействия клиентских компьютеров с серверами интерфейса OWA или Outlook Mobile Access.
Следующие службы на сервере интерфейса можно отключить:
Microsoft Exchange 1МЛР4 Данная служба необходима только в том случае, когда сервер настроен для 1МАР4-клиентов.
Microsoft Exchange Information Store Данная служба необходима только в том случае, когда на сервере имеются почтовые ящики пользователей или общие папки. Поэтому в нашем случае ее можно отключить, так как на серверах интерфейса не хранятся п о л ьзо вате л ьски е данные.
Microsoft Exchange POP3 Данная служба необходима только в том случае, когда сервер настроен для POP3-клиентов.
NNTP Данная служба нужна только для процесса установки и в случае поддержки функциональности групп новостей.
При желании на сервере интерфейса можно дополнительно отключить следующие службы:
Microsoft Exchange System Attendant Вы можете оюючить System Attendant (Системный помощник), так как данная служба нужна на сервере интерфейса только в том случае, если вы планируете изменять конфигурацию Exchange Server. Несмотря на это, целесообразность отключения данной службы не является бесспорной. Если вы решите отключить службу Microsoft Exchange System Attendant, то убедитесь, что она действительно не нужна.
Microsoft Exchange Management Данная служба позволяет с помощью пользовательского интерфейса указать, какой контроллер домена или сервер глобального каталога Exchange Server 2003 будет использоваться для доступа к каталогу. Также эта служба нужна для отслеживания сообщений (message tracking). Отключение данной службы не повлияет на базовую функциональность Exchange. Однако отслеживание событий может понадобиться для корректной работы аудита Exchange.
SMTP Службу SMTP следует включать только в том случае, если ваш сервер интерфейса настроен на получение SMTP-почты (как в качестве шлюза, так и в качестве сервера интерфейса для IMAP4 или POP3). Если сервер является SMTP-uuitojoM, то также нужны службы Information Store и System Attendant. Как и в случае службы System Attendant, целесообразность отключения данной службы не является бесспорной. На практике службу SMTP на серверах Exchange Server 2003 отключают редко.
Outlook Mobile Access Данная служба обеспечивает поддержку мобильного доступа для пользователей. Если вы не пользуетесь Outlook Mobile Access, то данную служ* бу следует везде отключить. Это сделает приложение недоступным, и обратиться с запросом к серверу хранилищ будет нельзя.
Примечание ForestPrep по умолчанию отключает Outlook Mobile Access.
Если ваш сервер интерфейса используется для установления POP3-, IMAP4- или SMTP-подключений, то не включайте службу World Wide M^b Publishing Service, а включите только необходимые службы Microsoft Exchange POP3 или IMAP4. Если вы включили службу POP3, IMAP4 или SMTP, то нужно также включить службы Exchange Information Store (MSExchangelS) и Microsoft Exchange System Attendant (MSExchangeSA).
Службы на сервере хранилищ Exchange
Задачей сервера хранилищ Exchange является хранение почтовых ящиков пользователей. Вы можете отключить несколько служб Exchange, которые уста на вл н ваются по умол* манию.
На сервере хранилищ необходимы следующие службы:
Microsoft Exchange Information Серверы хранилищ содержат почтовые ящики пользователей и обшие палки. Данная служба необходима для включения служб хранения информации.
Microsoft Exchange Management Данная служба необходима, если вы хотите организовать отслеживание сообщений» а также для аудита прохождения сообщений.
Windows Management Instrumentation (WMI) Вы должны убедиться, что данная служба включена; она зависит err Microsoft Exchange Management.
Microsoft Exchange MTA Stacks Данная служба нужна в том случае, когда вам необходимо обеспечить совместимость с предыдущими версиями Exchange или коннекторами Х.400.
Microsoft Exchange System Attendant Данная служба нужна в том случае, когда вы хотите администрировать Exchange, а также для поддержания работы Exchange.
Microsoft Exchange Routing Engine Данная служба нужна в том случае, когда вы хотите скоординировать передачу сообщений между серверами Exchange.
IPSEC Senices Данная служба необходима для реализация IPSec-политики на сервере хранилищ,
HS Admin Service Данная служба необходима для службы MSExchange routing engine.
NTLM Security Support Provider Вы должны убедиться, что данная служба включена; она зависит от System Attendant.
Microsoft Exchange SMTP Данная служба используется Exchange для передачи сообщений.
World Wide Web Publishing Service Данная служба понадобится вам н том случае， когда вам необходимо обеспечить взаимодействие с серверами интерфейса OWA и Outlook Mobile Access.
Следующие службы можно отключить на сервере хранилищ:
Microsoft Exchange IMAP4 Если соответствующий сервер не является сервером интерфейса для IMАРД-доступа, то данную службу можно отключить-
Microsoft Exchange POP3 Если соответствующий сервер не являете сервером интерфейса для РОРЗ-доступа, то данную службу можно отключить.
Microsoft Search Если вы не нуждаетесь в полнотекстовом индексировании хранилищ почтовых ящиков или общих папок, то данную службу можно отключить.
Microsoft Exchange Event Service Если вам не нужно поддерживать совместимость с предыдущими версиями Exchange, то данную службу можно отключить.
Microsoft Exchange Site Replication Если вам не нужно поддерживать совместимость с предыдущими версиями Exchange, то данную службу можно отключить.
NNTP Если вы не нуждаетесь в поддержке функциональности групп новостей, то данную службу можно отключить. Эта служба нужна для процесса установки, однако включать ее необязательно.
Журналирование протоколов
В журналы протоколов записываются команды, которые виртуальные серверы межсетевых протоколов получают по сети от клиентов; также в этих журналах могут сохраняться исходящие команды. Настраивая свойства виртуального сервера, ассоциированного с каждым из транспортных протоколов сообщений, вы можете производить аудит клиентских операций и трафика протоколов. Это позволяет выявлять подозрительный трафик и принимать соответствующие меры для защиты почтовой системы.
Межсетевые протоколы (SMTF^ HTTP и NNTP) позволяют использовать журнал и^ рованне для отслеживания команд, получаемых виртуальным сервером от клиентов- Например, для любого сообщения вы может просмотреть IP-адрес клиента, его доменное имя, дату и время сообщения, а также количество посланных байтов.
Когда журналирование протоколов используется совместно с журналами событий Windows 2000, журнал протокола позволяет вам осуществлять аудит того или иного виртуального сервера и выявлять возникающие проблемы.
Форматы журналирования
Вы можете задать формат журналирования, который Exchange будет использовать при записи информации. Можно выбрать один из текстовых (ASCII) форматов или создать базу данных ODBC (Open Database Connectivity). ASCII-журналы можно читать в любом текстовом редакторе, но обычно они загружаются в специальные про граммы генераторы отчетов. ODBC-формат журналирования — это записи с фиксированным набором полей, которые могут быть прочитаны в любой ODBC-совместимой программе для работы с базами данных (например, Microsoft Access или SQL Server).
По умолчанию журналы протоколов сохраняются в каталоге C:\WINNT\System32\ LogFiies. Например, файлы журналов для используемого по умолчанию виртуального сервера SMTP сохраняются в C:\WlNNT\System32\LogFiles\SmtpSvcL
Для ASCII-формата поддерживаются следующие варианты:
файл в формате журнала W3C Extended;
файл в формате журнала Microsoft IIS;
файл в формате журнала NCSA.
В форматах W3C Extended Log File и NCSA Log File год в дате записывается в четы^ рехзначиом формате, а в формате Microsoft IIS для записи года используются два символа (последний формат используется для обратной совместимости со старыми системами).
Если вы хотите включить журналирование в ODBC-формате, то нужно установить базу данных для приема сохраняемой информации. Тем не минее* для администрирования Exchange не обязательно быть программистом баз данных. К счастью, установка базы данных ODBC является довольно простой операцией.
База данных, совместимая с ODBC, создается с помощью программы для работы с базами данных, например Access или SQL Server. Вам нужно создать в базе данных таблицу, содержащую поля из табл. 11-5. В Access поле типа varchar(255) эквивалентно полю текстового типа (Text) размера (Field Size) 255.
Табл. 11-5. Поля таблицы в базе данных ODBC
Название поля
Тип данных
Client Host (Мел клиента)
varchar(255)
Username (Имя пользователя)
varchar(255)
LogTime (Время записи в журнал)
datetime
Service (Служба)
varchar(255)
Machine (Машина)
varchar(255)
ServerIP (IP-адрес сервера)
varchar(50)
ProcessingTime (Время обработки)
integer
Bytes Re с vd (Количество полученных байтов)
integer
BytesSent (Количество переданных байтов)
integer
ServiceStatus (Состояние службы)
integer
Win32Status (Состояние Win32)
integer
Operation (Операция)
varchar(255)
Target (Цель)
varchar(255)
Parameters (Параметры)
varchar(255)
Лабораторная работа. Включение и настройка журналирования протоколов
Метод, которым вы будете пользоваться для включения и настройки журналирования протоколов, зависит от типа настраиваемого виртуального сервера. Серверы HTTP, включая виртуальный сервер Exchange (то есть используемый по умолчанию виртуальный сервер HTTP), настраивается с помощью IIS Manager. Виртуальные серверы SMTP и NNTP настраиваются с помощью Exchange System Manager.
Упражнение 1. Включение журналирования для виртуальных серверов SMTP и NNTP
Данная процедура выполняется на используемом по умолчанию виртуальном сервере SMTP на сервере ServerO 1. Аналогичная процедура может быть использована для любых виртуальных серверов SMTP или NNTB
Для включения и настройки журналирования протоколов на выделенном сервере выполните следующие шаги:
Откройте Exchange System Manager.
Перейдите к Administrative Groups\First Administrative Group\Servers\Server01\ Protocols\SMTP, шелкните правой кнопкой мыши на Default SMTP Virtual Server (Виртуальный сервер SMTP no умспианню) и выберите в контекстном меню пункт Properties (Свойства).
На вкладке General (Общие) установите флажок Enable Logging (Включить журнал»> рован не).
В раскрывающемся списке Active Log Format (Формат журналирования) выберите формат файла журнала, после чего щелкните мышью на Properlfes (Параметры). По умолчанию для SMTP предлагается формат журнала W3C Extended Log File Format (для NNTP предлагается формат Microsoft US Log File Format).
5* В диалоговом окне Logging Properties (Параметры журналирования) на вкладке General (Общие) в панели New Img Schedule (Расписание для создания нового журнала) выберите один из предложенных вариантов (см. рис. 11-13):
Hourly (каждый час);
Daily (ежедневно; данный вариант предлагается по умолчанию);
Weekly (еженедельно);
Monthly (каждый месяц);
Unlimited File Size (размер файла нс ограничивается; информация всегда будет записываться в один и тот же журнал);
When File Size Reaches (при достижении заданного размера файла; новый файл будет создаваться при достижении журимом определенного размера, задаваемого в Мб).
，oqqti>g Properties
■И W
6.
7.
8.
9.
Swel J Advanced |
-NewlogtcheriJe-
「tjourly
行画
广 Weekly
广小忐i*y
С ЦрИпМЫ file $ize
厂 When FUe jee reaches:
W 3 怦
厂 Use local time For file патйпд androloMer
g fM directory:
I C?iwiNDOWS\Sy5tem32\LogFfes~
Lg fte №« iSffltp5vc Ikxvm^*®
grouse... I
ОК ] ] Сапе域 I16Ppiуj Haip
Рис. 11-13. Расписание журналирование и задание расположения файла
В поле Log File Directory (Каталог файла журнала) укажите расположение файла журнала.
Если ранее был выбран формат журналирования W3C Extended Log File, то вы можете перейти на вкладку Advanced (Дополнительно) н выбрать параметры, которые вы будете отслеживать. Хотя названия этих настроек базируются на соглашениях WC3, они применяются к определенным значениям SMTP. Чтобы прочитать полное описание этих расширенных настроек, щелкните мышью на Help (Помощь) в диалоговом меню Logging Properties (Параметры журналирования).
Нажмите ОК.
Снова нажмите ОК для закрытия диалогового окна Properties (Свойства) для используемого по умолчанию виртуального сервера SMTP.
Упражнение 2. Включение и настройка журналирования для виртуального сервера Exchange
Виртуальный сервер Exchange (или виртуальный сервер HTTP по умолчанию) реализует web-сайт по умолчанию, который поддерживается US. С помощью Exchange System Manager данным виртуальным сервером нельзя управлять ——для этой цели используется консоль IIS Manager. В данной консоли виртуальный сервер Exchange показан как Default 蚀b Site* Для настройки дополнительных виртуальных серверов HTTP используется аналогичная процедура.
Для включения и настройки журналирования протокола для виртуального сервера Exchange выполните следующие шаги:
Запустите //S Manager на сервере ScrverO 1,
Разверните Server01\Web Sites, щелкните правой кнопкой мыши на Default Web Site и выберите в контекстном меню пункт Properties (Свойства).
Установите флажок Enable Logging (Включить журналирование) на вкладке Web Site,
В раскрываютемся списке Active Log Format (Формат журна；1ирования) выберите формат файла журнала, после чего шелкните мышью на Properties (Параметры). По умолчанию предлагается формат журнала W3C Extended Log File Format.
На вкладке General (Общие) диалогового окна Logging Properties (Параметры журналирования) выберите временной интервал для записи в файл журнала, размер этого файла, каталог, в котором будет храниться файл журнала, и другие параметры, зависящие от выбранного вами формата,
Если в диалоговом окне Logging Properties (Параметры журналирования) вы выбрали для файла журнала формат W3C Extended Log File, то становится доступной вкладка Advanced (Дополнительно), где можно задать дополнительные параметры журналирования (Extended Logging Options). Например, вы можете сохранять в журнале [P-адрес клиента (с-ip) и команду протокола или метод, посылаемые клиентом (cs-method).
Нажмите ОК. Вновь нажмите ОК для закрытия диалогового окна Default Web Site Properties (Свойства web-сайта по умолчанию).
Убедитесь, что вы также можете в консоли 11S щелкнуть правой кнопкой мыши на узле HTTP_serverl и настроить параметры журналирования для данного виртуального сервера с помощью аналогичной процедуры (вирпальный сервер HTTP с именем HTTP—Servd был создан в главе 9),
匐] Практикум по устранению проблем
В этой лабораторной работе вы определяете источник нежелательной электронной почты и блокируете его на уровне Exchange Server 2003. Затем вы понимаете, что этот источник был подменен отправителями спама, однако в настоящее время данная проблема решена. Поэтому вам не нужно далее блокировать электронные письма из этого источника.
Для выполнения данной лабораторной работы нужно настроить тестовую сеть согласно требованиям, приаеденным в разделе 4Прежде всего* в начале этой главы. В частности, вы будете блокировать, а затем разрешать электронную почту от определенного пользователя в домене tailspintoys.com. Если ваш домен назван по-другому, то в упражнения следует подставлять нм只 вашего домена.
Упражнение 1. Отсылка нежелательной почты
Данное упражнение может показаться тривиальным, но если вы в совершенстве овладеете техникой, то никогда не останетесь голодным. Для отсылки нежелательной электронной почты выполните следующие шаги:
Зареги стр иру йтес ь на сервере Serve г02 под учетной записью Дона Холла (Don Hall). Откройте браузер Internet Explorer и подключитесь к OWA (//ttp://server02/ exchange).
Отправьте электронное письмо на адрес administrator@tailspintoys,сот. Текст этого сообщения зависит лишь от вашей фантазии (например, *Я хочу играть на гитаре как Вилл Виллис. Пожалуйста, пришлите мне денег на уроки»).
Зарегистрируйтесь на сервере ServerOl под учетной записью администратора и откройте папку Inbox с вхо口只 1HMMн письмами. Прочитайте и удалите это ненужное сообщение.
Упражнение 2. Блокировка нежелательной электронной почты от определенных доменов
Outlook устанавливается вместе с фильтром нежелательной электронной почты, который позволяет пользователям не читать письма от источников, находящихся в вашем RBL- списке. Однакоt если электронная почта приходит от доменов, распространяющих нежелательную почту, вы можете захотеть блокировать ее ешс до того, как она поступит в вашу организацию. В этом случае вы должны фильтровать письма на уровне виртуального сервера SMTP по умолчанию на вашем сервере интерфейса Exchange.
Для блокировки Интернет-почты от определенных доменов и пользователей, выполните следующие шаги:
Откройте Exchange System Manager.
Перейдите к Administrative Groups\Firsl Administrative Group\Servers\ServerO2\ Protocols\SMTP, щелкните правой кнопкой мыши на узле Default SMTP Server и выберите в контекстном меню пункт Properties (Свойства).
На вкладке Access (Доступ) в панели Connection Control (Контроль соединения) щелкните мышью на Connection (Подключение).
Убедитесь, что в диалоговом окне Connection (Подключение) выделен пункт Ail Except The List Below (Все, за исключением нижеприведенного списка) и нажмите Add (Добавить).
В диалоговом окне Computer (Компьютер) выделите Domain (Домен).
Прочитайте предупреждение в диалоговом окне SMTP Configuration (Настройка SMTP) и нажмите ОК.
Наберите nwtraders.com в поле Name (Имя) и нажмите ОК.
Нажмите Add (Добавить) в диалоговом окне Connection (Подключение), затем выде^ лите Domain (Домен) в диалоговом окне Computer (Компьютер).
Наберите treyresearch, com в поле Name (Имя) и нажмите ОК.
Диалоговое окно Connection (Подключение) должно выглядеть аналогично рис. 11-14.
Select which axnputert 哂 ассеи thia virtual seiver;
C 口nly the lot below
(* Alt e^e(M the Kt betow
QompulaiR.
Acgsr*i IP Address [Maskj i^ppmaff^Tame
^Deniednwtradets.com
科 D enied(re^eseafck com
I匚用翌一二. HemvJ I
口 К I] Help
Рис. 11-14. Блокировка доменов, распространяющих нежелательную почту
L Нажмите Add (Добавить) в диалоговом окне Connection (Подключение), затем выделите User (Пользователь) в диалоговом окые Computer (Компьютер).
Наберите d.ha!l@taUspiwtoys.com в поле Name (Имя) и нажмите OK.
Нажмите OK*
Снова нажмите ОК для закрытия диалогового окна Default SMTP Virtual Server Properties (Свойства ниртуального сервера SMTP по умолчанию).
Пошлите электронное письмо от Дона Холла на адрес adminisU-ator^tailspintoys.com. Убедитесь, что данное письмо блокировано.
Вы заблокировали нежелательную почту?
При реальной работе трудно проверить действенность блокировки отправителя нежелательной электронной почты, если только вы не пользуетесь программой, которая будет подменять адрес этого отправителя. На практике приходится внимательно просматривать почту и убеждаться, что от данного отправителя больше нс поступают письма.
Упражнение 3. Удаление записи из списка блокировки почты
В настоящий момент вы хотите принять письмо от Донна Холла. Для удаления сооТ' ветствуюшей этому пользователю записи из списка блокировки выполните следующую процедуру:
Откройте Exchange System Manager.
丄 Перейдите к Administrative Groups\First Administrative Group\Servers\Senrer02\ Protocols\SMTP, щелкните правой кнопкой мыши на узле Default SMTP Server и выберите в контекстном меню пункт Properties (Свойства).
На вкладке Access (Доступ) в панели Connection Control (Контроль соединения) щелкните мышью на Connection (Подключение).
Убедитесь, что в диалоговом окне Connection (Подключение) выделен пункт All Except The List Below (Все, за исключением нижеприведенного списка), щелкните мышью на d.haU@tailspintoys,сот, после чего нажмите Remove (Удалить).
Нажмите ОК.
Вновь нажмите ОК для закрытия диалогового окна Default SMTP Virtual Server Properties (Свойства виртуального сервера SMTP по умолчанию).
Отправьте электронное письмо от Донна Холла администратору a dm inistrator @ta lisp intoys.com. Убедитесь, что письмо получено.
「ЛАВА 1 2
Архивация и восстановление
Занятие 1. Управление хранилищем данных441
Занятие 2. Архивация Exchange Server 2003454
Занятие 3. Восстановление Exchange Server 2003465
Темы экзамена
Управление, наблюдение и устранение неполадок хранилищ данных.
Выполнение и устранение неполадок архи нации и восстановления.
В этой главе
Восстановление после аварий — это критическая область в структуре и реализации Microsoft Exchange Server 2003. Электрон пая почта в современной бизнес-среде, вероятно, является самым популярным способом связи, а частиые и общедоступные хранилища содержат огромные объемы ценной информации. Жизнеспособность большинства организаций целиком зависит от безопасности и стабильности этой информации. Следовательно, архивация (резервное копирование) и восстановление, а также возможность управления хранилищем информации, являются критическими.
Прежде всего
Для выполнения упражнений, рассматриваемых в этой главе, потребуются:
Два сервера Microsoft Windows Server 2003, Enterprise Edition, установленные н каталоге AD taikpimoys.com служебного домена. ServerOl должен быть контроллером домена, a Server02 ——рядовым сервером, ServerOl должен иметь несколько сетевых адаптеров. ServerOl в ходе выполнения упражнений этой главы настраивается как сервер восстановления.
Примечание Если ваш домен AD имеет имя, отличное от tailspintoys.com, то изменять его не надо. В тех местах, где в дальнейшем в главе будет упоминаться имя tailspintoys, сот, используйте имеющееся у вас имя домена.
Exchange Server 2003, Enterprise Edition, должны быть установлены на обомх серверах.
В упражнениях этой главы для размещения архива используется каталог D:\ Mybackup на ServerOl. Если ваши серверы имеют стримеры, то для приближения
к реальным условиям, вы можете создать место для сохранения архива на этих устройствах.
Для размещения архива и файлов протокола транзакций необходимо создать каталоги. В соответствии с примерами, это должны быть D:\Mybackup и D:\My Transaction Logs на ServerOl.
Должен быть доступен сервер доменных имен (Domain Name System, DNS). Обычно DNS устанавливается на контроллере домена.
Занятие 1. Управление хранилищем данных
Принципы архивации данных и их восстановления хорошо известны, но удачная стратегия архивации сама по себе еще не гарантирует ^выживаемость» вашей организации в современной бизнес-среде, основанной на интенсивном использовании информации. Помимо сопровождаемой звучной и всем понятной стратегии хранения, операция восстановления позволяет вернуть только данные, актуальные на момент последней архивации, выполненной, возможно, день назад. В некоторых случаях потеря данных, накопленных за один день, не очень критична. К тому же, процессы архивации и последующего восстановления не обеспечивают сохранение работоспособности. Для восстановления потерянных данных хранилище необходимо перевести в автономный режим (offline), или размонтировать (dismounted). До полного завершения восстановления и повторного монтирования пользователи не смогут обращаться к своим почтовым ящикам. В ходе этого занятия вы узнаете, как можно защитить от потери данных дисковую систему с избыточностью н обеспечить обслуживание без потери работоспособности. Кроме того, вы познакомитесь с принципами управления хранилищем, позволяющими восстанавливать данные, существовавшие непосредственно на момент отказа.
Изучив материал этого занятия, вы сможете:
объяснить работу различных дисковых систем, которые используются для обеспечения зашиты от краха и непрерывного обслуживания
(с сохранением работоспособности);
объяснить предназначение различных типов файлов, в которых хранятся данные Exchange Server 2003;
определить, какой тип дисковой конфигурации наиболее подходит для хранения различных типов файлов;
объяснить, как файлы протокола транзакций могут помочь в восстановлении данных, существовавших непосредственно на момент отказа;
объяснить отношения между типами архивации и файлами протокола транзакций;
объяснить работу циклического протоколирования и, при необходимости, включать его;
объяснить, как архитектура «сервер-хранилище данных» (storage area networks, SAN) используется для хранения данных Exchange.
Продолжительность занятия — около 60 минут.
Как Exchange Server 2003 управляет данными
Exchange Server 2003 обрабатывает данные различных типов, имеющие отличающиеся требования и соперничающие в отношении ресурсов хранения. Наиболее значимая конкуренция — между протоколом транзакций и файлами базы данных (БД). В ходе этого занятия объясняется, почему эти типы файлов не могут успешно сосуществовать на одном диске и по возможности должны храниться на различных устройствах.
Exchange хранит данные, используя структуру баз данных Extensible Storage Engine (ESE). Хранилище Exchange можно разделить на две категории: транзакции и сообщения. Сообщения хранятся в файлах БД .edb и ,sf/n. а транзакции хранятся в файлах протокола транзакций. Помимо собственно сообщений, файлы базы данных содержат вложения, папки, правила, индексы и прочую информацию, необходимую хранилищу.
Поведение файлов протокола и базы данных различаются. При создании пользователем нового сообщения, изменения не сразу заносятся в файл БД, поскольку это серьезно ограничит производительность. Вместо этого, все изменения записываются в файлы протокола, которые записывают транзакции последовательно в нумерованный файл. Позже данные файла протокола переносятся в БД. Exchange создает новый файл протокола после того, как текущий файл протокола достигнет размера 5 МбаПтон.
Файлы протокола всегда записываются в последовательном порядке, в то время как файлы БД считываются и записываются произвольным образом. Таким образом, у сервера Exchange Server 2003 должна быть возможность произвольно читать н записывать н большой файл БД, перемещая головки жесткого диска вперед и назад, одновременно записывая протоколы транзакций последовательным образом. Такая модель использования поверхности диска приводит к противоречиям, что ведет к снижению произао- дительности, особенно при большом числе пользователей.
Файлы протоколов транзакций и файлы БД необходимо поместить на дисковые системы, которые не будут конкурировать и специально оптимизированы под предполагаемый тип деятельности. Помещение конкурирующих файлов на различные дисковые устройства (или шпиндели) — это очевидный шаг; но организации крупного размера используют дисковые массивы совсем не так, как отдельные диски. Вам необходимо определить дисковую конфиг>граиию, которую обеспечит оптимальный баланс производительности, защиты данных и стоимости.
Дисковые массивы
Использование систем из независимых дисковых накопителей с избыточностью (redundant array of indepcnclcni drives, RAID) хорошо известно и здесь рассматривается лишь вкратце. Существуют программные и аппаратные реализации, отличающиеся у различных производителей. Массив RAID-0+1 одного поставщика может быть массивом RAID-1+0 другого. Мы будем рассматривать только общие реализации, активно используемые Exchange Server 2003,
Примечание В литературе сокращение “RAID» используется в различных значениях. Это может быть «массив независимых дисковых накопителей с избыточностью» (redundant array of independent disks) и «массив недорогих дисковых накопителей с избыточностью» (redundant array of inexpensive disks). Microsoft испол ьзуст это сокращение в отношении массива независимых дисковых накопителей с избыточностью. Именно так оно используется и здесь.
EDB- и STM-файлы
Исходный формат электронного сообщения — это, как правило, MIME-стандарт (Multipurpose Internet Mail Extensions, MIME). Некоторые системы электронной почты (такие как Microsoft Exchange Server 5*5) преобразуют входящие сообщения из MIME в RTF-формат (Rich Text Format, RTF), Exchange Server 2003 (и Exchange 2000 Server) для сокращения нагрузки на процессор используют белее просто访 MIME-формат и хранят сообщения неизменными в .$制-файлах.
Сообщения, поступающие no SMTP-протоколу (Simple Mail Transfer Protocol, SMTP) на сервер Exchange Server 2003 потоком помещаются в .5〃户(от «stream») файлы без прсобразо в а н и я * Если это сообщение адресовано в почтовый ящик пользователя, то сведенн 月 из заголовка сообщения сохраняются в MAPI-таблицах (Messaging Application Programming Interface, MAPI) в файле .edb. Если пользователь открывает это письмо, используя MAPI-клиент (например, Microsoft Outlook 2003), то информация заголовка копируется в БД .edb. Если пользователь модифицирует письмо, оно также помещается в БД *ed力.
RAID-О. Расщепление диска
RAlD-О требует минимум два дисковых устройства и реализует дисковый массив с чередованием записей. Данные разбиваются на блоки, и каждый блок записывается на отдельный диск поочередно. Производительность операций ввода/вывода (Input/output, I/O) повышается за счет того, что чтение и запись на все диски может осуществляться одновременно. При наличии множества каналов и дисковых устройств вы можете ожидать соответствующего прироста производительности, особенно при распределении данных через множество контроллеров, к каждому из которых подключено только одно дисковое устройство, Это простая и легкореализуемая конструкция, не вызывающая дополнительной нагрузки, связанной с осуществлением конфоля четности, и не имеющая сокращения используемой емкости диска.
Однако RAID-О не обладает отказоустойчивостью. Сведения о четности — это сжатые данные об одном диске, которые хранятся на другом диске, обеспечивая непрерывную защиту. Отсутствие процедуры генерации такой информации повышает производительность и снижает стоимость, но оставляет данные незащищенными. Фактически, массив RAID-О даже менее надежен, чем один диск. Неисправность лишь одного диска приводит к потере данных всего массива. Следует избегать использования RAID-0 в средах, зависяших от целевого назначения.
RAID-1. «Зеркало» или дуплекс
В RA1D-1 все данные, записываемые на один диск, одновременно записываются и на «зеркальный» диск. Таким образом, при отказе одного диска данные останутся доступными на другом диске. «Дуплекс» — этот тот случай, когда для каждого диска используется свой контроллер. Это повышает надежность, поскольку при отказе одного контроллера, второй остается доступным. Такой вариант также повышает производительность, поскольку данные могут записываться на оба диска одновременно. RAID-1
обеспечивает н повышение производительности чтения, поскольку данные и считываться могут одновременно.
Примечание Некоторые конфигурации и RAID-контроллеры могут поддерживать одновременную запись только при использовании одного контроллера, но это не обеспечивает такого же повышения надежности, как при использовании двух контроллеров.
Для реализации RA1D-1 требуется минимум два диска. При этом обеспечивается всеобщая избыточность, поэтому в случае отказа перекомпоновка не требуется. Однако вариант RAID-1 довольно дорогостоящий. Для обеспечения определенного объема приходится практически уд вам вать дисковую емкость. Кроме того, в зависимости от аппаратной или программной реализации и того, какой из дисков «зеркальной» пары отказал, этот вариант может не обеспечить мгновенной бесперебойной защиты. Также» если один мз дисков отказал, данные, оставшиеся на втором диске, остаются без защиты, а программная реализация RA1D-1 увеличивает нагрузку на процессор, снижая произэодительность при наивысшем уровне актиэности. Microsoft рекомендует аппаратную реализацию, предпочтительно с возможностью «горячей замены» (hot-swapping), при которой отказавший диск может быть заменен исправным без отключения питания и размонтнровання массива.
RAID-0+1. Зеркальное чередование
RAID-0+1 состоит из двух чередующихся массивов, которые нмеют свое «зеркало». Такой вариант дает избыточность «зеркальных» дисков и выигрыш в производительности, обеспечиваемый чередованием. Для реализации RAID-0+1 требует минимум четыре дисковых устройства. Он создает такую же нагрузку как RAID-1; требуется удвоение емкости дисков. При отказе одного из дисков массив RAID-0+1 превращается в массив RAID-О без защиты данных. Если отказывает второй диск на той же стороне зеркала, то данные сохраняются. Однако если отказывают оба диска с обеих сторон зеркала, то данные полностью теряются» и их приходится восстанавливать из резервной копии после замены отказавших дисков.
Поскольку в массиве с чередованием для крушения всего массива достаточно отказа одного диска, массив RAID-0+1 наследственно менее надежен, чем RAID-1, при одинаковой нагрузке. Однако это компенсируется повышением производительности записи/чтения. Как правило, массив RAiD-0+l — это аппаратная реализация с поддержкой «горячей замены».
RAID-5. Чередование с проверкой четности
Массив RAID-5 записывает даиные на дорожки диска, но для каждого ряда дорожек на диске выделяется одна дорожка для размещения данных о четности, которые представляют собой сжатые сведения о данных всех остальных дорожек того же ранга на других дисках. Дорожки с данными о четности распределяются по всем дисках таким образом, что при отказе одного диска, данные этого диска остаются в сжатой форме на дорожках всех остальных дисков.
Для реализации RAID-5 требуется минимум три дисковых устройства. Он обеспечивает отличную производите^ьность чтения, поскольку чтение может осуществляться
со всех дисков одновременно. Производительность записи хорошая, но ниже, чем при реализации RAID- 0, поскольку требуется сгенерировать сведения о четности и записать на дорожках четности (хотя в современных конфигурациях RAID-5 эта функция реализуется аппаратно н выполняется довольно быстро). Такая конфигурация обеспечивает незамедлительную защиту без нарушения работоспособности. При отказе диска данные, необходимые для поддержки пользователя, будут предоставляться дорожками четности остальных дисков» Однако эти данные необходимо развернуть при чтении и сжать при записи, что ведет к значительному снижению производительности. Кроме того, массив с чередованием записи с отказавшим диском нс обеспечивает защиты данных. При отказе второго диска данные будут потеряны, н их придется восстанавливать из архива. Следовательно, поврежденный диск в системе RAID-5 должен быть заменен, а восстановление данных будет производиться по мере возможности на основе дорожек четности других дисков.
RAID-5 не так дорогостоящ, как RAID-], но здесь имеется некоторое снижение общей емкости массива, ввиду выделения дискового пространства для хранения сведений о четности. В наихудшем случае, при наличии трех дисков на эти цели используется треть емкости. При использовании четырех дисков для сведений о четности требуется четверть общего дискового пространства, при использовании пяти дисков — пятая часть пространства и т, д.
Программные реализации RAID-5 значительно нагружают процессор. Системы с программным RAID-5 также не могут загрузиться с RAID-5-набора, поскольку операционной системе Windows необходимо загрузить дисковые устройства для RAID-5 до того, как она может распознать массив. Microsoft рекомендует использовать аппаратный RA1D-5 при организации Exchange Server 2003.
Хранение протоколов транзакций и базы данных
При любой организации Exchange Server 2003 значительного размера (скажем, более 1000 пользователей), файлы протокола транзакций должны храниться отдельно от файлов базы данных. Exchange Server 2003 записывает транзакции в протокол в последовательном порядке, добавляя новые транзакции в конец протокола. Эти операции запнен обеспечивают активность записи/чтения, и диски, на которых хранится протокол транзакций, должены поддерживать большую нагрузку операций записи. Диски, содержащие БД, выполняют операции записи/чтения при обращении пользователя к содержимому своего почтового яшика либо при запнен в БД информации из протокола транзакций. Это относительно небольшая активность залмси/чтения» за исключением серверов, содержащих множество соединителей репликации каталогов.
Ввиду того, что протоколы транзаким仆 нуждаются в высокопроизводительных дисках, конфигурация RAID-0 является идеальной, за исключением того, что она не обеспечивает защиты данных. Потеря данных протокола транзакций не столь серьезна, как потеря данных БД, поскольку теряются только те транзакции, которые еще не были записаны в файлы БД. Однако потеря данных протокола транзакций лишает вас возможности восстановить потерянную информацию БД, существовавшую до момента отказа. Следовательно, данные протокола транзакций необходимо обезопасить. Использование RAID-0+1 для хранения файлов протокола — это рациональный компромисс. Если реализуется целесообразный режим архивации, общий объем всех файлов протокола транзакций не должен быть чрезмерным, а, следовательно, стоимость хранилища RAID-0+1 может быть приемлемой.
Почтовый ящик и данные общедоступной папки — это основное для вашей организации и они должны быть защищены. Помимо файлов протокола транзакций, больше не существует необычных требований к производительности операций записи/чте* ния. RAID-1 обеспечивает очень надежное и безопасное хранение данных. Однако хранилище для почтового ящика и общедоступной папки на самом деле может быть очень большим, и стоимость RAID-1 может оказаться неприемлемой. В этом случае RA1D-5 обеспечит защиту данных и хорошую производительность чтения по разумной стоимости.
Не стоит полностью полагаться на RAID
В некоторых организациях существует мнение, что ввиду зашлты данных за счет использования RAID-систем, им нет необходимости придерживаться политик архивации и восстановления. Это неправильно. Существует вероятность потери, удаления или перезаписи ценных данных не только за счет физического отказа диска. Данные должны архивироааться регулярно, а резервные копии должны храниться либо в огнеупорном сейфе, либо в другом помещении, либо и там, и там.
Как протокол транзакций защищает ваши данные
Хранение файлов протокола транзакций на жестком диске отдельно от файлов БД повышает общую производительность дисковых операций и позволяет избавиться от потери недавно использовавшихся данных. После завершения транзакции она записывается в протокол транзакций. Каждая группа хранения имеет собственный набор файлов протокола транзакций. Периодически сведения в протоколе транзакций фиксируются (committed),工 е, они записываются в файл БД группы хранения. Однако эта информация не удаляется из протокола транзакций. Протоколы транзакций удаляются только при выполнении полной архивации (резервного копирования) всех баз данных группы хранения. Вы не должны удалять файлы протоколов вручную. Для индикации того, какие элементы файла протокола транзакций переписаны в файл базы данных, используется файл контрольной точки (checkpoint file).
Мягкое восстановление
Если отказал жесткий диск, содержащий базы данных группы хранения, вы можете заменить поврежденный диск и затем восстановить самую свежую резервную копию. Если теперь удалить файл контрольной точки» то файл протокола автоматически воспроизведет все транзакции, которые были выполнены после того, как операция архивации перенесла записанные транзакции из файлов протокола в базы данных. Этот способ известен как восстановление работ осп особн ости системы с повтором всех завершенных транзакций (roll-forward) или легкое восстановление (soft recovery).
Жесткое восстановление
Возможно, что архивация файлов протокола транзакций была выполнена позже архивации файла БД. Файлы транзакций обычно значительно меньше файлов БД и архивируются более регулярно. Так называемое добавочное копирование архивирует всю информацию, которая была записана в протокол транзакций с момента последнего полного или добавочного копирования. Дифференциальное резервирование архивирует все файлы протокола транзакций незавнепмо от того, архивировались ли они ранее или нет. Ни добавочное, ни дифференциальное копирование не уничтожает файлы протокола транзакций, также как это выполняется в отношении файлов БД.
Если вы выполняли архивацию файлов протокола транзакций после выполнения полной архивации, можно выполнить жесткое восстановление. Жесткое восстановление ——это процесс воспроизведения файлов протокола транзакций с архивной среды после восстановления БД из оперативного архива. Если после жесткого восстановления Exchange обнаружит, что на сервере доступны для воспроизведения дополнительные файлы протокола, то процесс мягкого восстановления восстановит эти дополнительные файлы протокола в восстановленной БД.
ACID-свойства
Пока транзакция не завершена, она не записывается в файлы протокола транзакций, Говориться, что такие транзакции имеют ACID-c&oitcmea (сокращение от Atomicity (атомарность), Consistency (согласованность), Isolation (изоляция) и Durability (живучесть)). По-простому, это означает, что транзакция либо завершена, либо нет. Незавершенные транзакции «откатываются» назад» поэтому частично завершенных транзакций нс бывает. Представим, например, что кто- либо отправляет электронное сообщение с большим вложением одному из ваших пользователей, но ввиду аппаратного сбоя сервера саязь теряется. В этом случае транзакция нс завершена и будет выполнен «откат», к е. сообщение снова будет поставлено в очередь на сервере-отправителе. Если неполадка будет устранена до истечения времени ожидания (times out), то сообщение будет доставлено. Если нет, то отправителю будет послан отчет。недоставке (non-delivery report, NDR). Это предпочтительный вариант как для сообщения, потерянного в ходе передачи, так н для сообщения, доставленного без вложения.
Потеря файлов протокола транзакций
При потере диска, содержащего файлы протокола транзакций, но не файлы БД, нет необходимости восстанавливать какую-либо группу хранения из архива. Однако вы не сможете воспроизвести транзакции, которые записаны в файлы протокола и не записаны в файлы БД, Это означает, что можно потерять данные, которые не сохранились ни в файлах протокола, ни в последнем архиве. Если стратегия архивации включает дифференциальное и дополнительное копирование, то вы сможете восстановить файлы протокола транзакций, но все равно потеряете последние транзакции. Однако при
оптимальной стратегии архивации общий размер файлов протокола транзакций не должен быть большим и не сопоставим со стоимостью зашиты с сохранением работоспособности на основе RAID.
Совет Вы можете минимизировать время, необходимое на восстановление отказа жесткого диска, если каждая группа хранения Exchange будет находиться на отдельном жестком диске или массиве дисков. При отказе одного диска вам придется восстанавливать только группу хранения, находившуюся на отказавшем диске.
Циклическое протоколирование
Microsoft разработал Exchange Server 2003 для предприятий, но этот продукт также хорошо работает в организациях, имеющих лишь несколько пользователей. Циклическое протоколирование — это решение для компаний, которые не хотят, чтобы протоколы транзакций использовали слишком много дискового пространства. Оно также может использоваться в тех случаях, когда защита информации, перенесенной в группу хранения (например, сервер Newsgroup), не является важной. Циклическое протоколиро' ванне сберегает дисковое пространство за счет повторного использования файлов протокола транзакций. Вместо накопления набора протоколов, содержащих все транзакции, произошедшие с момента выполнения последнего полного резервного копи* рования, циклическое протоколирование разрешает повторное использование файла протокола после того, как сервер Exchange Server 2003 перенесет транзакции в ВД. Обычно для циклического протоколирования требуется четыре (иногда пять) файлов, либо 20 Мбайтов дискового пространства.
Предположим, вы храните транзакции в файлах E0000010.log, £00000/"og, Е0000012. log и EUUOOOl3.log. Когда все четыре файла заполнятся, ESE переименует файл Е00000Ю. log в E00000I4Jog и начнет перезапись его данных. Исключением из этого правила является случай, когда файл контрольной точки по-прежнему показывает на ЕОООООЮ. /og, указывая, что не вес транзакции в ЕОООООЮJog переписаны в БД (и ни одна транзакция из других протоколов). В этом случае ESE создает пятый файл протокола (E0000014.log), а не перезаписывает E0000010.log.
Циклическое протоколирование используется при нехватке дискового пространства для хранения протокола транзакций. Однако Exchange Server 2003 хранит протокол так, что вы сможете восстановить транзакции, когда вам понадобится восстановить БД в ходе архивации. При повторном использовании Exchange Server 2003 протоколов вы не сможете восстановить “старые* транзакции. Не стоит использовать циклическое протоколирование в среде, где важно иметь возможность восстановить данные.
Циклическое протоколирование
Зачастую на практике циклическое п рото кол и ро вание используется неверно. Если о организации не используется политика архивации, или используется неудачная политика, не реализующая полного оперативного резервного копирования, то протоколы транзакции в конечном итоге заполнят все доступное дисковое пространство. Циклическое протоколирование нс является ответом в этой ситуации; только верная политика архивации. Протокол транзакции занимает до 5 Мбайтов, что для современных дисков не является огромным размером. То, что ваша организация нс очень крупная и ее деятельность не слишком интенсивная (в этом случая вы сможете позволить себе большую дисковую емкость), ——слишком маленькое оправдание наличия файлов протокола транзакций, занимающих несколько сот мегабайтов.
Технологии хранения
Существует несколько типов технологий хранения, которые могут применяться в Exchange Server 2003. Ваш выбор будет определяться размером организации Exchange Server 2003 и тем. как поставщик реализовал решение.
Вероятно, что организация Exchange Server 2003 будет использовать одну из следующих технологий хранения:
External storage array (ESA).
Network attached storage (NAS),
Storage area network (SAN).
Массив внешнего хранения
Хранение типа ESA (External Storage Array, массив внешнего хранения) использует внешнюю SCSI (Small Coinputer System Interface) стойку приводов для размещения множества дисковых устройств SCSI* как правило, сконфигурированных как один или несколько RAID-наборов. SCSI-кабель соединяет дисковые устройства непосредственно с сервером Exchange Server 2003. Такой тип хранилища обеспечивает хорошую производительность, но имеет ограниченную масштабируемость. Его обслуживание осуществляется на серверной основе. Корпорация Microsoft рекомендует использовать ESA, по другому называемый wen осредствен но подключаемое храни/иаце (direct attached storage, DAT), в небольших организациях Exchange.
Примечание Microsoft не уточняет понятие «небольших-». И это разумно. Организация с 300 пользователей, каждый из которых использует электронную почту в качестве основного способа связи, может иметь более комплексные требования, чем организация с 1000 пользователей, большинство из которых редко пользуются электронной почтой. В качестве обшего практического правила: если имеется 500 и более пользователей, то требуется решение более масштабируемое, чем ESA.
Хранилище, подключаемое по сети
Решение NAS (Network Attached Storage, хранилище, подключаемое по сети) имеет свой собственный сетевой JP-адрес (Internet protocol, IP), имеющий подключение к серверу Exchange Server 2003. SCSI млн волоконно-оптические каналы подключают устройство хранения к Ethemct-сетн* Сервер Exchange Server 2003 отображает файловые запросы на NAS-c叩вер.
Exchange Server 2003 имеет требования по пропускной способности и доступу к локальным данным, не совместимые с NAS-продуктами, поэтому корпорация Microsoft не рекомендует использовать NAS-технологию. Однако некоторые NAS-устройства могут непосредственно подключаться к серверу Windows 2003 и появляться в списке совместимого аппаратного обеспечения (hardware compatibility list).
Хранилище с непосредственным доступом
Для хранения файлов Exchange Server 2003 в средней и крупной организации Exchange корпорация Microsoft рекомендует использовать архитектуру сервер-хранилище данных (storage area network, SAN). Эта конфигурация оптимизирует надежность и производительность серэера. SAN обеспечивает возможность хранения и управления хранением данных предприятия, а для обеспечения быстрого и надежного соединения между хранилищем и приложениями использует технологию коммутаиин волоконных каналов (fiber channel switching technology),
SAN состоит из трех основных компонентов:
технология коммутации оптико-волоконных каналов;
массивы хранилищ, хранящие и защищающие данные;
программное обеспечение хранения и управления SAN.
Такие производители оборудования, как Intel, IBM и Conexion, продают полные SAN-пакеты, включающие необходимое аппаратное м программное обеспечение, а также осуществляют поддержку. Программное обеспечение SAN управляет сетью и избыточностью потока данных, предоставляя несколько путей доступа к хранимым данным, и способствует возможности соединения между системами различных производителей и с различными операционными системами, использующими продукты хранения множества производителей. Хотя стоимость развертывания может стать препятствием, SAN-решение может оказаться предпочтительным, поскольку долговременная общая стоимость владения (total cost of ownership, TCO) может оказаться ниже, чем стоимость обслуживания множества и с по средствеи н о подключаемых массивов хранилищ.
Вот преимущества реализации SAN-решения в организации Exchange Server 2003: ■ Exchange Server 2003 требует высокой пропускной способности в вода/вы вода, обеспечиваемой только массивом хранения, подключенным через SAN.
Exchange Server 2003 требует, чтобы почтовый ящик и общедоступные папки находились на диске, являющемся локальным для сервера Exchange Server 2003. Это требование удовлетворяется SAN-решением, которое подключает Exchange-серверы через локальное оптико-волоконное соединение.
Технология SAN весьма масштабируема. По мерс роста «почтовых данных» и постоянном достижении ими ограничений почтового ящика необходимо увеличивать
емкость хранилища и скоростей ввода/вывода. По мере расширения организации SAN поможет вам легко добавить диски.
SAN позволяет вам расширять Exchange-организацию за счет добавления серверов. Для увеличения массивов хранилищ имеется возможность подключить множество Exchange-серверов, а затем распределить между ними массивы хранилищ.
Лабораторная работа: Управление хранилищем
В этой лабораторной работе вы создадите группу хранения» размонтируете хранилище данных, переместите файлы протокола транзакций, разрешите циклическое протоколирование и смонтируете хранилище.
Упражнение 1. Создание группы хранения
В этом упражнении вы создаете группу хранения. Данные в почтовых ящиках по л ьзо- затея ей в этой группе не требуют восстановления с момента отказа, н, следовательно, вы можете включить циклическое протоколирование. Для создания группы хранения выполните следующие действия:
Запустите Exchange System Manager.
2* Перейдите к Administrative Groups\First Administrative Group\Servers.
Щелкните правой кнопкой на SeeerOl, щелкните New (Создать), а затем щелкните Storage Group (Группа хранении).
На вкладке General (Общие) страницы Properties (Свойства) в поле Name (Имя) введите Му Storage Group.
Щелкните ОК
В Exchange System Manager разверните ServerOI, щелкните правой кнопкой Му Storage Group, щелкните New (Создать), а затем щелкните Mailbox Store (Почтовое хранилище).
На вкладке General (Общие) страницы Properties (Свойства) в поле Name (Имя) введите Му Mailbox Store,
Щелкните ОК* Щелкните Ns (Да) для монтирования хранилища.
Примечание При создании группы хранения имеется возможность включить циклическое протоколирование (при необходимости) и указать новое место расположения файлов протокола транзакций. Однако в ходе этой лабораторной работы рассматриваются управление и рабочей группой хранилищ, которая перед внесением изменений должна быть размонтирована.
Упражнение 2. Управление группой хранения
В этом упражнении мы размонтируем группу хранения, укажем место расположения файлов протокола транзакций, разрешим циклическое протоколирование и смонтируем БД. На практике, если вы включаете циклическое протоколирование, мог бы возникнуть
небольшой вопрос с перемещением файлов протокола транзакций, которые не могут быть использованы для восстановления данных после включения циклического протоколирования. Цель этого упражнения — познакомиться с этими процедурами.
Для управления группой хранения выполните следующие действия:
Запустите Exchange System Manager.
Перейдите Administrative Groups\First Administrative Group\Servers\Server01\Storage Groups\My Storage Group.
Разверните My Mailbox Store и щелкните Logons (Входы в систему) для проверки отсутствия подключенных пользователей.
Совет В этом упражнении пользователи подключаться не будут. На практике, вам необходимо предупредить пользователей о том, что хранилище будет размонтировано, и попросить их нс подключаться.
Щелкните правой кнопкой Му Mailbox Store, а затем щелкните Dismount Store (Размонтировать хранилище).
Появится предупреждение, сообщающее о том, что все пользователи будут отклю- ченн. Щелкните №$ (Да).
Щелкните правой кнопкой Му Storage Group, а затем щелкните Properties (Свойства).
На вкладке General (Общие) установите флахок Enable Circular Logging (Разрешить циклическое протоколирование), а затем щелкните Apply (Применить).
Прочтите предупреждениеt а затем щелкните Yes (Да).
Укажите новое место расположения файлов протокола транзакций. Это должен быть другой том, желательно на другом дисковом устройстве или массиве. Эта процедура представлена на рис. 12・1.
Transaction logTransaction log£-卫凶£-卫凶
Transaction log
Transaction log
£-卫凶
£-卫凶
fcjake New Folderfcjake New Folder
fcjake New Folder
fcjake New Folder
Fokfers
t23 Support Took
囹 О Windows Medi& Player 田白 Windows NT
© WindtwsUpdato
国曰 WINDOWS
IS & EXia
E ^ toed Disk(0:)
El О MSOCache
Foiden J My Storage Group Transaction Logs
Рис. 12-1* Указание нового места расположения файлов протокола транзакций
Щелкните ОК.
Прочтите предупреждение, а затем щелкните Yes (Да).
Совет Предупреждение свидетельствует, что для перемещения файлов протокола транзакций все хранилища в данной группе хранилищ будут размонтированы. На основании этого вы можете решить, что перед запуском процедуры вам не надо размонтировать все хранилиша. Однако лучше проверить отсутствие подключенных пользователей, а затем размонтировать все хранилища. Это предотвратит подключение пользователей к хранил ищу во время определения его свойств.
Файлы протокола транзакций перемещены, и Му Mailbox Store монтируется автоматически. Щелкните ОК для закрытия информационного окна.
Снова щелкните ОК для закрытия диалогового окна Му Storage Group Properties (Свойства Му Storage Group).
Закрепление материала
Ниже представлены вопросы, предназначенные для закрепления ключевой информации этого занятия. Если вы не сможете ответить на вопрос, повторно изучите материал занятия и попробуйте снова ответить на этот вопрос. Ответы на вопросы представлены в разделе «Вопросы и ответы*> в конце главы.
Файлы БД группы хранения Sales хранятся на четырехдисковом массиве RA1D-U. Файлы протокола транзакций хранятся на том же массиве. Циклическое протоколирование нс включено. Вы выполняете полную архивацию в ночь на понедельник, а добавочную — в ночь на вторннк, В среду в 15:00 отказал один из дисков массива. Какое предложение верно?
Вы не можете извлечь данные, записанные в массив во вторнмк и в среду
Вы можете восстановить данные вплоть до ночной архивации во вторник.
Вы можете восстановить данных, архивированные в ночь на вторник, а затем выполнить восстановление с повтором всех завершенных транзакций для восстановления данных до 15:00 среды.
Нет необходимости восстанавливать данные* Они расположены на отказоустойчивом массиве.
Какая технология хранения обычно имеет свой 1Р-адрес?
RAID.
SAN,
ESA.
NAS.
Ваши файлы протокола транзакций находятся на «четырехшпиндельном» дисковом массиве RA1D-0+1. Диски А и В составляют чередующийся том, также как и диски С и D. Два чередующихся тома составляют зеркало. Диск А отказал, В ходе замены диска А наш помощник неожиданно повредил диск В* Как выполнить восстановление в этой ситуации?
Резюме
Если файлы БД и протокола транзакций хранятся на одном дисковом устройстве и этот диск отказал, то восстановление возможно только по последнему архиву. Если файлы протокола транзакций находятся на другом диске и циклическое протоколирование отключено, то вы сможете восстановить файлы БД вплоть до момента отказа, воспользовавшись последним архивом и файлами протокола транзакций.
RAID-системы могут защитить данные и обеспечить сохранение работоспособности. Исключением является массив RAID-О, который обеспечивает повышенную производительность ввод a/вы вода, но не обеспечивает защиты данных.
Корпорация Microsoft рекомендует для малых организаций дисковую технологию хранения ESA и SAN-технологию для средних и больших организаций.
Занятие 2. Архивация Exchange Server 2003
Передовой линией обороны на случай крушения является гарантия архивации критической информации. Это занятие познакомит вас с различными концепциями н процедурами архивация Exchange Server 2003. Ряд сторонних производителей предлагают программное обеспечение архивации, подходящее для серверов Exchange Server 2003, но данное занятие сконцентрировано на рассмотрении утилиты архивации, входящей в состав Microsoft Windows 2003,
Изучив материал этого занятия, вы сможете:
определять типы данных, нуждающихся в архивации;
объяснить стратегии архивации;
выполнить полную оперативную (online) архивацию;
объяснить понятие автономной (offline) архивации;
запустить фоновую службу тома (volume shadow service);
определить основные принципы архивации кластеров Exchange;
воссоздать полнотекстовые индексы;
определить основные принципы проверки завершения архивации.
Продолжительность занятия — около 90 минут.
Типы архивируемых данных
Очень важно, чтобы до крушения вы сохранили все критические данные вашей компании. К этим данным относятся содержание почтовых ящиков ваших пользователей и конфигурационная информация, которая нужна для работы сервера, на котором
выполняется Exchange Server 2003, Убедитесь, что вы сохранили в архиве все сценарии управления и все хранилища Exchange.
Требуется выполнить резервное копирование двух типов данных: статических и динамических.
Статические данные
Этот тип данных или не изменяется, или изменяется довольно редко. Примерами могут быть:
программное обеспечение операционной системы Windows Server 2003, совместно со всеми пакетами обновления;
упакованное программное обеспечение приложения (например, Exchange Server 2003, Enterprise Edition);
вспомогательное программное обеспечение, такое как архиватор стороннего производителя или программы управления системой;
пользевательские приложения, например приложения Active Server Pages (ASP), почтовые клиенты (mailbox agents) и программное обеспечение автоматизации делопроизводства;
сценарии управления.
Динамические данные
Динамические данные меняются часто. Примерами могут быть:
файлы БД и протоколов Exchange Server 2003;
данные AD;
данные служб сертификации Microsoft;
базы данных SRS-службы (Site Replication Service, SRS);
данные о состоянии системы, включая метабазу Microsoft Internet Information Services (IIS);
данные правомочности в кластере (если организация использует кластеры).
Стратегии архивации
Утилиту Backup операционной системы Windows 2003 можно использовать для реализации различных стратегий архивации (резервного копирования). Если вместо нее вы решите использовать утилиту стороннего производителя, поддерживаемую Exchange Server 2003, стратегии архивации остаются теми же. Выбранная вами стратегия архивации непосредственным образом будет влиять на процесс восстановления. Имеются следующие стратегии архивации:
полная (иногда называемая нормальной);
полная плюс добавочная;
полная плюс дифференциальная;
копия;
копия плюс добавочная.
Полная архивация
Полная архивация копирует как файлы БД, так и файлы протокола транзакций. По завершении полной архивации файлы протоколов транзакций, которые внесены в БД, удаляются с сервера. Если вы решите использовать полную архивацию, то выполнять ее прмдетс只 каждый день.
Полная архивация плюс добавочная
БД Exchange может быть очень большой и зачастую бывает просто невозможно выполнять полную архивацию каждый день. Поэтому можно выполнять полную архивацию периодически, допустим, раз в неделю, сопровождая это выполнением добавочной архивации каждый день между полными архивациями. Добавочная архивация собирает только данные протокола транзакций, которые подверглись изменению с момента выполнения последнего полного или добавочного копирования. Эта стратегия архивации копирует только файлы протокола транзакций, а не файлы БД. Она нс подходит, если включено циклическое протокол ирован ие. После завершения архивации файлы протокола транзакций не удаляются с сервера.
Полная архивация плюс дифференциальная
Можно также выбрать вариант периодического выполнения полной архивации, дополняя ее ежедневной дифференциальной архивацией. Дифференциальная архивация сохраняет все файлы транзакций, независимо оттого, были ли они скопированы в ходе предыдущей архивации или нет. Эта архивация бесполезна, если разрешено циклическое протоколирование. После завершения дифференциальной архивации файлы протокола транзакций не удаляются с сервера.
Архивация копированием
Архивация копированием — это то же самое, что и полная архивация, за исключением того, что не выполняется изменение атрибутов файлов» Это означает, что, например, выполнение добавочной архивации после выполнения архивации копированием равносильно выполнению той же добавочной архивации до выполнения архивации копированием. Архивацию копированием можно использовать для создания полного архива AD или хранилища Exchange, не влияя на состояние любой запланированной добавочной или дифференциальной архивации. После завершения архивации копированием файлы протокола транзакций не удаляются с сервера. Обычно архивация копированием используется для создания архивных данных, которые будут храниться вне данного помещения.
Архивация копированием плюс добавочная
Можно выполнять архивацию копированием совместно с добавочной архивацией. Это сбережет все файлы протокола транзакций. Совместно с другими стратегиями (отличными от непосредственного копирования), в ходе полного копирования вы удаляете файлы протоколов, внесенные в БД, соответственно ограничивая способность восстановления с повтором всех завершенных транзакций от любой архивации, отличной от самой последней полной архивации. При архивации копия плюс добавочная архивация вы можете выполнить восстановление с повтором всех завершенных транзакций
от любого имеющегося архива-копии, просто добавив все добавочные архивы, созданные после выполнения выбранного архива-копии.
Дл月 реализации этой стратегии цикл архиваций необходимо начать с выполнения полной архивации. После этого выполните добавочную архивацию и продолжайте поочередно применять архивацию копированием и добавочную архивацию, ежедневно выполняя добавочную архивацию сразу после завершения копирования. Хотя это очень безопасная стратегия, она не удаляет файлы протокола транзакций, внесенных в БД, что в конечном итоге может привести к заполнению диска. Для предотвращения этого довольно часто приходиться выполнять полную архивацию.
Последствия размера архивации
При ежедневном выполнении полной архивации требуется множество ресурсов и носителей. Можно выполнять архивацию в оперативном режиме, для выполнения которой нет необходимости размонтировать информационное хранилище. Тем не менее, при ее использовании ощущается некоторое снижение производительности. Полная плюс добавочная архивация оказывает наименьшее влияние на производительность. Полная архивация может выполняться в ненапряженный период (например, во время выходных), а добавочная архивация выполняется относительно недолго. Однако если необходимо восстановить БД из архива, то вам придется восстановить последний полный архив, а затем воспроизвести все добавочные архнвы, выполненные после этой полной архивации. При использовании полной плюс дифференциальной архивации, в аналогичной ситуации необходимо восстановить полный архив, а затем воспроизвести только последний дифференциальный архив.
Выполнение архивации
Обычно архивация выполняется в оперативном режиме (online), но имеется возможность сделать это автономно (offline). Кроме того, для управления архивацией снимком можно воспользоваться службой фонового копирования тома (Vblume Shadow Copy Service, VSS). Процесс архивации кластеров Exchange Server 2003 подобен архивации почтового ящика и общедоступной папки, хранящихся в кластере. Н, наконец, вы должны представлять, что при архивации БД, архивация индексов полнотекстовой индексации не выполняется. Вы должны знать, как выполнить персивдексацию данных в БД Exchange Server 2003.
Архивация в оперативном режиме
При выполнении Exchange Server 2003 архивации в оперативном режиме (online) все службы, включая Exchange-хранилише, продолжают выполняться в ходе процесса архивации как обычно. Это позволяет пользователям использовать их почтовые ящики в ходе архивации, независимо от того, является ли архивация добавочной, дифференциальной или полной.
В ходе полной архивации в оперативном режиме .edb, ,stm и ,/og файлы, составляющие хранилище Exchange, архивируются и проверяются на повреждения на уровне файловой системы. Ненадежное аппаратное обеспечение, встроенные программы («прошивки^) или диски могут привести к повреждению файловой системы. Эта проверка
сравнивает контрольные суммы каждого 4-килобайтного блока или страницы БД. При несовпадении контрольной суммы процесс архивации прерывается.
Следовательно, после завершения архивации в оперативном режиме необходимо с помощью Event Viewer проверить» не повреждено ли хранилище Exchange. Если в Event Hewer вы найдете запись о неудачном архивировании ввиду ошибки чтения страницы, то возможно в БД имеются проблемы.
Автономная архивация
Автономная архивация — это не рсксгмсндуемое решение. Шя выполнения автономной архивации баз данных Exchange Server 2003 необходимо размонтировать почтовый ящик н хранилища общедоступной папки, а затем выполнить архивацию БД и файлов протокола транзакций вручную. Автономная архивация может потребоваться в том случае, если архивация в оперативном режиме потерпела неудачу, например в результате возникновения ошибки контрольной суммы 1018 JET_errRead Verify Failure.
Автономная архивация выполняется также в том случае, если вы пользуетесь средствами архивации сторонних производителей, не поддерживающими программные интерфейсы (application programming interfaces, API) оперативной архивации Exchange.
Недостатками автономной архивации являются:
необходимо останавливать службы ЕД, и пользователи не смогут обращаться к своим почтовым ящикам в ходе процесса архивации;
файлы протокола транзакций, содержащие транзакции, уже внесенные в БД, не уничтожаются;
в ходе автономной архивации проверка целостности БД не выполняется;
повышается вероятность потери данных.
Служба фонового копирования тома
Одним из практических ограничений количества пользователей, поддерживаемых от- дельныNf сервером, является время, которое требуется для архивации хранилища почты. Вы можете значительно сократить это ограничение за счет использования службы фонового копирования тома (\blume Shadow Copy, VSS) в Windows Server 2003, помогаюшей создавать практически мгновенный архив данных Exchange в определенный момент времени.Л
Когда БД Exchange смонтирована, e-mai 1 -транзакции могут происходить в любое время. При попытке создать «быстрый» архив данных в конкретный момент времени (фоновое копирование), e-mail-транзакиии могут произойти непосредственно в момент архивации. В результате, после завершения создания архива он может включать несогласованную копию данных. Если вы следуете рекомендациям Microsoft и храните файлы БД и файлы протокола транзакций на различных томах, в ходе фонового копирования это может вызвать противоречия.
Если ваше программное обеспечение архивации не поддерживает VSS, единственным способом обойти эту проблему является проведение архивации после перевода БД в автономный режим. Этот подход выдвигает проблему планирования н сводит на нет выгоду фонового копирования. Он также делает сложным завершение архивации ввиду повышения спроса на системы, способные работать 24 часа в сутки 7 дней в неделю.
Метод архивации VSS решает эту проблему созданием согласованной мгновенной фоновой копии данных при работе системы в оперативном режиме. После получения запроса на выполнение архивации VSS уведомляет службы Exchange。том, что будет произведена архивация. Exchange готовится к архивации, очищая дисковые структуры и сбрасывая на диск кэш-буферы.
Программное обеспечение, поддерживающее VSS (например, Windows 2003 Backup), может выполнять фоновое копирование диска в начале процесса архивации. После этого программа создает архив на основе фоновой копии, а не работающего диска. Этот метод имеет следующие преимущества:
Он создает архив тома, отражающий состояние, в котором находился том в момент начала архивации, даже если в ходе процесса архивации данные изменяются,
Все данные внутренне согласованы и отражают состояние тома в конкретный момент времени.
Метод оповещает приложения н службы о выполнении архивации. Службы и прм- ложения могут подготовиться к архивации.
VSS-поддержка осуществляется на уровне группы хранения и предоставляет два пакета восстановления в аварийных ситуациях, которые могут использоваться производителями программного обеспечения:
момент времени (файлы протокола транзакций не воспроизведены);
полное восстановление (файлы протокола транзакций воспроизведены).
Внимание! Exchange Server 2003 поддерживает VSS для полной архивации и архивации копированием не для дополнительной или дифференциальной архивации.
Архивация кластеров Exchange
К совместно используемым дисковым ресурсам кластера Exchange Server 2003 относятся ресурс полномочного представитсяьства и ресурс, содержащий хранилища Exchange Server 2003. Любой из этих узлов в кластере может обращаться к совместно используемым дискам, а все узлы полагаются на данные этих дисков. Следовательно, ваша стратегия восстановления требует архивации и этих ресурсов.
Файлы БД и файлы протокола транзакций Exchange Server 2003 хранятся на одном или более совместно используемых дисковых ресурсах кластера. Каждый виртуальный Exchange-серверt размешенный на узле н кластере, имеет собственный набор файлов БД и файлов транзакций. Для восстановления после отказа одного из совместно используемых дисковых ресурсов, содержащего файлы БД и файлы протокола транзакций Exchange, необходимо создать отдельные архивы этих файлов.
Ресурс полномочного представите л ьства обеспечивает целостность кластера. Он, например, гарантирует согласованность баз данных кластера, находящихся в реестрах Windows каждого узла. БД кластера содержат сведения обо всех физических и логических элементах кластера, включая свойства объектов и данные о настройке. Для обеспечения возможности восстановления после сбоя в ресурсе полномочного п ред ставите льства необходимо выполнить либо полное архивирование компьютера, либо архивирование Windows на узле, который владеет ресурсом полномочного представительства.
Для архивации конфигурации всего кластера можно воспользоваться средством Microsoft (Сlustool.exe), ClustooLexe может выполнять архивацию конфигурации кластера после завершения начальной настройки кластера либо после любых изменений в настройке кластера.
Восстановление индексов
Полнотекстовое индексирование (также называемое контекстным индексированием) — это дополнительная функция Exchange Server 2003т позволяющая пользователям выполнять полнотекстовый поиск, как по самим сообщениям, так и по вложениям сообщений. Полнотекстовые индексы не хранятся в БД Exchange. По умолчанию, они размещаются в каталоге Program FilesXExchsrvrXExchangeServer^erver №we\Prejects и управляются службой Microsoft Search.
Полнотекстовые индексы не архивируются в ходе архивации БД Exchange Server 2003. В случае сбоя приходится перекомпоновать сервер, после чего воссоздать индексы. Для восстановления поврежденных индексов или индексов, не синхронизированных с БД Exchange, необходимо переиндексировать данные в базах данных Exchange. Если повреждена служба Microsoft Search, то в ходе восстановления индексов необходимо восстановить и эту службу.
Проверка архивов
Для проверки успешности процессов архивации необходимо проверить, что архивация завершена и прошла без ошибок. Для этого необходимо изучить протокол архивации Windows Server 2003 и после этого просмотреть события в журнале Windows Server 2003. При обнаружении ошибок или противоречий а этих протоколах необходимо разрешить их, как только появится возможность.
Успешность архивации данных также можно проверить путем восстановления данных на другом компьютере в качестве опыта. Эта процедура рассматривается далее в этой главе.
Лабораторная работа. Архивация
В ходе этой лабораторной работы будет выполнена архивация группы хранения, включено VSS, удалены и восстало 1кпены полнотекстовые индексы. Архивацию необходимо выполнить обязательно, для того чтобы в ходе занятия 3 восстановить группу хранения БД.
Упражнение 1. Архивация группы хранения
В ходе упражнения вы выполните полную архивацию данных группы хранения в one** ративном режиме и создадите место хранения архива на другом томе того же компьютера. При желании месторасположение архива можно изменить, переместив папкку на другой том или на другой компьютер, в отношении которого у вас имеются соответствующие разрешения записи. Новый путь к архивным папкам вам необходимо будет указать также л для восстановления этих данных (см. занятие 3).
Для архиваиии группы хранения в оперативном режиме выполните следующие действия:
L Ha ServerOl в меню Start (Пуск) выберите All Progranis\Accessories\Systein Tools (Bee и po гра м м ы \Ста ндарти ы е\С л уже бн ы е), а затем щелкните Backup (Архивация).
На странице Welcome То The Backup Or Restore Wizard (Мастер архивации и восстановления) мастера Backup Or Restore Hazard щелкните Next (Далее).
Убедитесь, что на странице Backup Or Restore (Архивация и восстановление) выбран вариант Back Up All Files And Settings (Архивация всех файлов и настроек), а затем щелкните Next (Далее).
На странице What То Back Up (Что следует архивировать) выберите Let Me Choose ^Ъа1 То Back Up (Предоставить возможность выбора объектов для архивации), а затем щелкните Next (Далее).
Backup or Restore WizardBackup or Restore WizardНа странице Items То Backup Up (Элементы для архивации) в поле Items lb Back Up (Элементы для архивации) раскройте Microsoft Exchange Sender, раскройте ServerOl, раскройте Microsoft Information Store и установите флажок Му Storage Group (см. рис, 12-2), а затем щелкните Next (Далее).
Backup or Restore Wizard
Backup or Restore Wizard
Items to Back Up
You can back up ary coMteipn & dfivet, folders, a Wei
B
Doubte-cick an item on Ле Ы« to $ee i$ contents on the right Then «led Ihe dwek box ne)rt lo any drive/foldet, м file 由& you wont to back up.
Items to back upc
二二口由，甲0,口由，甲0,讨 Desktop□ У Му Computer口凸 Му Document口伸 Miciosolt Exchange Server计口令 SERVER01日回У Microsoft InformaJion Slae 自酬FhN Storage Group ”0W СШЕЁВШЗ 囹□令 SERVER02 口学 My Neiwak Places讨 Desktop□ У Му Computer口凸 Му Document口伸 Miciosolt Exchange Server计口令 SERVER01日回У Microsoft InformaJion Slae 自酬FhN Storage Group ”0W СШЕЁВШЗ 囹□令 SERVER02 口学 My Neiwak PlacesNativeI Comment@ 匕№ МлАэок 5kMeNativeI Comment@ 匕№ МлАэок 5kMeMy Siotage GioupMy Siotage Gioup
二
二
口由，甲0,
口由，甲0,
讨 Desktop
□ У Му Computer
口凸 Му Document
口伸 Miciosolt Exchange Server
计口令 SERVER01
日回У Microsoft InformaJion Slae 自酬FhN Storage Group ”0W СШЕЁВШЗ 囹□令 SERVER02 口学 My Neiwak Places
讨 Desktop
□ У Му Computer
口凸 Му Document
口伸 Miciosolt Exchange Server
计口令 SERVER01
日回У Microsoft InformaJion Slae 自酬FhN Storage Group ”0W СШЕЁВШЗ 囹□令 SERVER02 口学 My Neiwak Places
NativeI Comment
@ 匕№ МлАэок 5kMe
NativeI Comment
@ 匕№ МлАэок 5kMe
My Siotage Gioup
My Siotage Gioup
《£2 ] HM> —ICanfcel I
Pmc. 12-2. Выбор объектов архивации
На странице Backup 1\ре, Destination, And Name (Нмя, тип и путь к архиву) щелкните Browse (Обзор).
В диалоговом окне Save As (Сохранить как) найдите D:\Mybackup. В поле File Name (Имя файла) введите Mybackup.bkf, а затем щелкните Save (Сохранить).
На странице Backup Туре, Destination, And Name (Имя, тип и путь к архиву) щелкните Next (Далее).
На странице Completing The Backup Or Restore Wizard (Завершение работы мастера архивации и восстановления) щелкните Finish (Готово).
После завершения архивации щелкните Report in the Backup Progress (Отчет в ходе архиваш«и).
Убедитесь, что в протоколе архивации нет ошибок (рис. 12-3). При отсутствии ошибок процесс архивации прошел успешно. Закройте окно протокола.
Рис. 12-3. Протокол архивации
В диалоговом окне Backup Progress (Ход архивации) щелкните Close (Закрыть).
Упражнение 2. Включение VSS
Для включения поддержки VSS эта служба должна быть разрешена на сервере Exchange, а программа архивации должна поддерживать новые API архивации и восстановления* В этом упражнении вы включаете VSS на Exchange-сервере для того, чтобы программа архивации смогла выполнить фоновое копирование тома.
Для включения VSS выполните следующие действия:
Откройте консоль Services (Службы) на ServerOl.
В Services (Local) (Сл^бы (локальные)) в панели деталей щелкните правой кнопкой Volume Shadow Сору, а затем шелкните Start (Старт).
Щелкните правой кнопкой Volume Shadow Сору, а затем щелкните Properties (Свойства).
В диалоговом окне Volume Shadow Copy Properties (Local Computer) (Свойства Valume Shadow Copy (Локальный компьютер)) поле Startup Type (Тип запуска) выберите Automatic (Автоматически), а затем шелкните ОК.
Закройте Services (Службы).
Упражнение 3. Создание индекса общедоступной папки
Для тренировки удаления, воссоздания и восстановления индексов сначала необходимо проиндексировать хранилище общедоступной папки. Для включения полнотекстового индекса, выполните следующие действия:
L Откройте Exchange System M“〃dgcr.
Перейдите к Administrative Groups\First Administrative Group\Servcrs\Scrver01\First Storage Group, а затем щелкните First Storage Group (Первая группа хранения).
Щелкните правой кнопкой Public Folder Store (SERVER01) (Общее хранилище папок (SERVER01)), а затем щелкните Create Full-Text Index (Создать полнотекстовый индекс),
Щелкните ОК, чтобы принять предлагаемое по умолчанию размещение каталога.
Щелкните правой кнопкой Public Folder Store (SERVER01) (Общее хранилище папок (SERVER01)), а затем щелкните Starl Full Population (Начать полное заполнение).
Совет Эта процедура предполагает, что построение индекса производится впервые. В противном случае, еелн не существует проблем с индексами, необходимо использовать дополняющее заполнение (incremental population).
Щелкните Ns (Да) для закрытия окна сообщения и запуска процесса обновления. Снова щелкните Yes (Да) для закрытия последующего окна предупреждения.
Процесс обновления займет некоторое время. Разверните Public Folder Store (SERVER01) (Общее хранилище папок (SERVER01)) и щелкните Full-Text Indexing (Полнотекстовая индексация). Убедитесь, что а панели деталей в качестве Last Build Time (Время последнего построения) указана текущая дата. Для обновления окна можно нажать клавишу F5.
Упражнение 4. Удаление и воссоздание индексов
Для псреиндексации данных БД Exchange необходимо удалить, а затем воссоздать полнотекстовые индексы. Для удаления поврежденных индексов и их воссоздания выполните следующие действия:
L Откройте Exchange System Manager.
Перейдите к Administrative Group$\F"st Administraiive Group\Servers\ServerOl\First Storage Group, а затем щелкните First Storage Group (Первая группа хранения),
В панели деталей щелкните правой кнопкой Public Folder Store (Общее хранилище папок), щелкните Delete Full-Text Index (Удалить полнотекстовый индекс), а затем щелкните №§ (Да) для продолжения.
В меню Start (Пуск) выберите Run (Выполнить), введите regedit, а затем щелкните ОК.
В редакторе реестра перейдите в ключ HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Search\ 1 .O\Databases, а затем разверните Databases.
В ключе Databases щелкните ExchangeSer\^r_SERVER01.
В панели деталей, расположенной рядом с Log Path ниже Data, найдите папку, в которой содержатся свойства хранилища и файлы протоколов. Запишите путь к этой папке, поскольку он нам понадобится в следующем действии. По умолчанию этой папкой является C:\Program Files\Exchsrvr\ExchangeServer_SЕRVER01.
В Microsoft Windows Explorer откройте папку, которую вы нашли в предыдущем действии.
В открытой папке проверьте, что подкаталоги Projects и GatherLogs пустые. Не удаляйте папки Projects и Gather Logs, но если в них есть какие-либо файлы, удалите эти файлы. Папка GatherLogs представлена на рис. 12-4.
「厂「厂№ Г *р，од『《т ГЦ 'if кг 1нг*г i,(-F<r'h4fk0i?Scrver_$fRVffftl I i.Utiret 5у%
「厂
「厂
奥史 X_FffWt« 史 tt* / ._
^j^T：江千不有位工后工x4\^
A^iee帯Rn Fsl«\£«iarw\E4d4noe5ww」£RmOH£ti^fLog*
田 О NNTP JiK I® О NNTPjwe 曰 OP^an^K 图 0 СогппЭпЧм 口 СфАл Appk«№№ S 匕 Exhsrvr 国口 Md lil 0 54«・ 53 £j Exthjy 5or*» 工KVEROl
В QbjKt*'痴心 ФК«；1^Й^В QbjKt*'痴心 ФК«；1^Й^% 中 wdwvb
В QbjKt*'痴心 ФК«；1^Й^
В QbjKt*'痴心 ФК«；1^Й^
Рис, 12-4. Проверка отсутствия файлов в каталоге
Закройте Windows Explorer и Registry Editor,
В Exchange System Manager щелкните правой кнопкой Public Folder Store (Общее хранилище папок), а затем щелкните Create Full-Text Index (Создать полнотекстовый индекс).
В диалоговом окне Public Folder Store (SERVER01) (Общее храимпнще папок (SERVERO 1)) щелкните ОК для принятия предлагаемого по умолчанию месторасположения каталога,
В Exchange System Manager щелкните правой кнопкой Public Folder Store (SERVER01) (Общее хранилище папок (SERVER01)) щелкните Start Full Population (Начать полное заполнение), щелкните Yes (Да) для продолжения, а затем снова шелкните \fes (Да) для закрытия появившегося предупреждения.
Щелкните правой кнопкой Public Folder Store (SERVER01) (Общее хранилище папок (SERVERO 1)), а затем щелкните Properties (Свойства).
В диалоговом окне Public Folder Store (SERVERO 1) Properties (Свойства общего хранилища папок (SERVERO 1)) перейдите на вкладку Full-Text Indexing (Полнотекстовая индексация).
На этой вкладке установите флажок This Index Is Currently Available For Searching By Clients (Этот индекс доступен для поиска клиентам), щелкните ОК, а затем снова щелкните ОК для подтверждения предупреждения.
Щелкните ОК для закрытия диалогового окна Public Folder Store (SERVER01) Properties (Свойства общего хранилища папок (SERVERO 1)),
Закрепление материала
Ниже представлены вопросы» предназначенные для закрепления ключевой информации этого занятия. Если вы не сможете ответить на вопрос» повторно изучите материал занятия и попробуйте снова ответить на этот вопрос. Ответы на вопросы представлены в разделе «Вопросы и ответы^ в конце главы.
Файлы протокола транзакций и БД хранятся на различных дисках. Циклическое протоколирование не включено. Дифференциальная архивация выполняется ночью по выходным. После выходных выполняется архивация копированием с помещением данных на ленту |стример]. С каждыми разом ночное копирование становится более длительным, и появляется сообщение а том, что жесткий диск, содержащий файлы протокола транзакций, близок к заполнению. Что необходимо предпринять?
Вы решили воспользоваться программой архивации стороннего производителя, использующей метод фонового копирования. Вы не хотите выполнять архивацию в автономном режиме и хотите, чтобы архивированные БД были согласованными. Что необходимо проверить и какие действия предпринять?
Что необходимо сделать для того, чтобы гарантировать возможность восстановления организации Exchange Server 2003 после отказа дискового ресурса полномочного представительства?
Резюме
■ Полная архивация и архивация копированием позволяют восстанавливать исходное состояние как файлов протокола транзакций, так и файлов ЕД, Добавочная и дифференциальная архивация восстанавливают только протоколы транзакций. Полная архивация усекает файлы протокола транзакций, т. е. удаляет протоколы, содержащие транзакции, которые перенесены в БД.
・ VSS позволяет программам архивирования создавать «снимок» содержания файла и восстанавливать состояние па основе этого снимка.
■ Все файлы в группе хранения могут архивироваться, пока эта группа находится в оперативном режиме.
■ Полнотекстовые индексы в ходе архивации БД Exchange Server 2003 не архивируются. В случае крушения необходимо восстановить сервер, а затем воссоздать индексы.
Занятие 3. Восстановление
Exchange Server 2003
В случае крушения может возникнуть необходимость восстановить одну или несколько БД из резервной копии (архива). Вы должны знать, как это сделать, кроме того, вы должны знать, как гарантировать, что ситуация не усложнится. Иногда поврежденные БД могут содержать извлекаемую информацию, и вы должны защитить эту информацию
or перезаписи восстанавливаемой БД, которая сделает их недоступными для чтения. Это занятие охватывает правила восстановления данных и вопросы проверки архивов перед использованием их в операции восстановления.
Изучив материал этого занятия, вы сможете:
определить принципы восстановления хранилищ из архивов, полученных в оперативном режиме;
объяснить методы восстановления из архивов, полученных в автономном режиме;
восстанавливать почтовые ящики и сообщения;
/ объяснить, как восстанавливать общедоступные папки;
/ восстанавливать оастеры;
/ восстанавливать AD с помощью Васкир-утилнты Windows Server 2003;
/ восстанавливать сервер Exchange Server 2003;
/ настраивать сервер восстановления;
/ объяснить, как выполнить проверку восстановления на сервер восстановления.
Продолжительность занятия — около 120 минут.
Восстановление БД
Если сервер, на котором выполняется Exchange Server 2003, после крушения остался работоспособным, то вы можете воспользоваться утилитой Backup из состава Windows Server 2003 для восстановления хранилищ. Для восстановления одного или более хранилищ сначала необходимо убедиться, что хранилище Exchange запущено. Кроме того, хранилнте(ща) Exchange, которые вы хотите восстанавливать, должны быть размонтированы. Размонтировать необходимо только те хранилища, которые вы собираетесь восстанавливать. Это позволяет пользователям обращаться к остальным хранилищам в группе хранения.
Exchange содержит встроенный механизм, который для предотвращения случайного воспроизведения файлов протоколов из разных групп хранения в восстанавливаемом хранилище Exchange использует значения подписей. Каждая группа хранения имеет значение подписи файла протокола, а каждый файл протокола в свою очередь имеет подпись. Соответствующий .edb-файл хранит это значение подписи в своем заголовке.
Использование утилиты архивации Windows Server 2003 для восстановления хранилищ
Перед выполнением восстановления из архива, созданного в оперативном режиме, необходимо сделать копию файлов всех существующих БД, даже если эти файлы повреждены. До тех пор, пока ваш набор архивов не будет полностью восстановлен
и проверен, нельзя утверждать* что восстановление пройдет успешно. Если восстановление завершится неудачей, по-прежнему сохраняется возможность исправить существующее хранилище из его копии, хотя в ходе этого процесса вы, вероятно, потеряетеt по меньшей мерс* часть данных. После того как копии файлов БД, которые вы собираетесь восстанавливать, созданы, можно попытаться выполнить восстановление из архивов, созданных в оперативном режиме.
Совет При восстановлении данных из набора архивов текущие файлы БД перезаписываются с самого начала процесса. Переименуйте файлы восстанавливаемой БД, прежде чем вы приступите к процессу восстановления. Кроме того, убедитесь, что диск БД хотя бы наполовину свободен. В противном случае вы не сможете восстановить из архива, поскольку не располагаете достаточным дисковым пространством.
Операцией восстановления управляет служба Microsoft Exchange Information Store (IS). После размонтирования хранилищ(ща) процесс восстановления выполнит следующие операции:
Заменит файлы существующих БД сохраненными фалами.
Скопирует файлы протокола, находящиеся на архивной среде, во временно诉 каталог протоколов.
Создаст файл Restore.env для кгикдой выполняемой операции восстановления в том же каталоге, в который восстановлены файлы протокола.
Проверит подпись файла протокола всех временных файлов протокола, чтобы убедиться в том* что восстановленные файлы протоколов соответствуют группе хранения, управляющей восстанавливаемой БД. Воспроизведет и применит восстановленные файлы протокола к ЕД.
Воспроизведет и применит к БД файлы протокола активной группы хранения,
Ухалит временные файлы протокола.
Восстановление нескольких хранилищ
Имеется возможность одновременно восстанавливать несколько хранилищ и несколько групп хранения, запустив несколько экземпляров утилиты Backup ОС Windows Server 2003. Однако, поскольку каждая группа хранения — это набор архивов и файлы протоколов будут использоваться совместно, разумней выполнять одновременно не более одного восстановления на группу хранения. Можно восстанавливать несколько хранилищ, но вы не должны воспроизводить несколько файлов протокола одновременно.
Например, имеется отдельный набор архивов, который содержит шесть баз данных. Все шесть баз можно восстановить одной операцией» а единственный совместно используемый файл Restore.env будет контролировать «жесткое» восстановление. Если, с другой стороны, нмсстся шесть наборов архивов, которые вы одновременно используете для параллельного восстановления из шести отдельных экземпляров приложения архмвашш, то необходимо определить отдельные временные каталоги для каждого восстановления и вручную по одному запустить «жесткое* восстановление для того, чтобы они не попытались выполнить «жесткое» восстановление одновременно.
Для восстановления нескольких наборов архивов параллельно в одной и той же группе хранения необходимо выполнить следующее:
Восстановить каждый набор архивов с архивной среды в собственный временный каталог
Убедиться, что флажок Last Backup Set (Последний набор архивов) сброшен.
Использовать флажок Last Backup Set (Последний набор архивов) для запуска «жесткого» восстановления.
Запустить утилиту eseutil с ключом /сс в каждом временном каталоге, содержащем восстановленные файлы протокола транзакций.
Восстановление из автономных архивов
Для восстановления системы на основе архивов, созданных в автономном режиме, имеется два способа: восстановление на определенный момент времени (point-in-time restoration) н восстановление с повтором всех завершенных транзакций (roll-forward restoration). Для использования любого нз этих способов необходимо убедиться, что базы данных в группе хранения, которая будет восстанавливаться, размонтированы и совместимы.
При «восстановлении на определенный момент времени» БД восстанавливается, но файлы протокола в этой БД не воспроизводятся. Все данные, которые были созданы после архивации, теряются. «Восстановление на определенный момент времени» используется для восстановления из архива, созданного в автономном режиме, в тех случаях, когда на вашем Exchange-сервере включено циклическое протоколирование. Поскольку циклическое протоколирование повторно использует файлы протокола, для обновления БД доступны нс все файлы, и вы сможете восстановить только данные, существовавшие до момента создания архива.
При «восстановлении с повтором всех завершенных транзакций» БД восстанавливается, а файлы протокола, которые были созданы после архивации, воспроизводятся в этой БД. Если доступны все файлы протоколов, то все данные, созданные после архивирования, будут восстановлены. При этом типе восстановления должны присутствовать все файлы протокола транзакций, созданные после архивации (включая текущий файл протокола транзакций). Вы удаляете файл контрольной точки (checkpoint file) и вьюючасте все БД в данной группе хранения* Повтор всех завершенных транзакций автоматически воспроизведет ваши файлы протоколов в восстанавливаемую БД и сделает ее актуальной.
Восстановление почтовых ящиков
Как часть процесса восстановления может понадобиться восстановить удаленные почтовый ящик или сообщения, которые пользователь удалил в ящике. Вы должны спланировать этот риск, включив настройку удаления в хранилище почтового ящика для оставшихся ящиков и удаленных писем на определенное количество дней.
Если функция сохранения почтового ящика (mailbox retention) включена, то по умолчанию период сохранения устанавливается равным 30 дням. Если почтовый ящик удаляется, а в течение 30 дней выполняется запрос на восстановление, то вы можете восстановить и повторно подключить этот почтовый ящик, не восстанавливая всю БД.
Если период сохранения истек, а вам необходимо восстановить почтовый яшик» то необходимо использовать сервер еосстановления. В этом случае необходимо выполнить следующие задачи:
Установить сервер восстановления в другой лес AD из леса, в котором расположен оригинальный сервер.
Установить Exchange Server 2003 на сервер восстановления» используя то же имя организации, что и в оригинальной организации.
Восстановить БД в административную группу, в которой значения legacy Exchange DN соответствуют значениям legacy Exchange DN в администрати иной группе, из которой была размещена оригинальная БД.
Задать имя группе хранения и восстановить логическую БД так, чтобы их имена соответствовали именам оригинальной группы хранения и логической БД.
Создать .psZ-файл и переместить все данные, которые необходимо восстановить» в этот файл.
Открыть .р^гфайл на производственном сервере и переместить данные обратно в соответствующее место.
Восстановление сообщений
Exchange Server 2003 выполняет как архивирование, так и восстановление на уровне физических страниц, а не на уровне почтового ящика. Вследствие этого, не сущестэует простого варианта восстановления отдельных сообщений из почтового ящика. Если необходимо позволить пользователям извлекать сообщения из каталога Deleted Items (Удаленные) в Outlook или Outlook 佻b Access (OWA), то это можно сделать, включив параметр Keep Deleted Items For (Days) (Хранить удаленные (дней)) для определенных пользователей в AD (рис. 12-5)* В качестве альтернативы, с помощью Exchange System Manager можно создать новую политику почтового ящика и установить политику сохранения (рис. 12-6). Для восстановления отдельных сообщений пользователь выбирает каталог Deleted Items (валенные) и использует пункт Recover Deleted Items (Восстановить удаленные элементы) в меню Tools (Сервис) приложения Outlook либо в меню Options (Настройка) в OWA.
Рис. 12・5. Установка периода сохранения для отдельного пользователя
Рис. 12-6. Установка политики сохранения почтового ящика
Если вы решите не настраивать в Exchange возможность извлечения пользователями сообщений из каталога Deleted Items (Удаленные)» то вам придется восстанавливать весь почтовый ящик на сервере восстановления, извлекать сообщение из этого ящика в .pst-файл и предоставлять пользователям возможность импортировать сообщение в собственный ящик.
Восстановление общедоступных папок
Сложность восстановления общедоступных папок заключается в том, что если восстанавливается хранилище общедоступных папок, то восстанавливается не только необходимая папка, но будет произведено замещение всех существующих папок содержимым, которое находится в архивном наборе. Эта сложность сокращается, если создать копию папки на другом сервере, что позволит реплицировать копию общедоступной папки на сервер, где она была потеряна. Если у вас имеется всего один сервер или имеется специально назначенный сервер для общедоступной папки, то для восстановления общедоступной папки с архивного носителя необходимо использовать сервер восстановления.
Процедура восстановления обшедоступной папки аналогична восстановлению отдельного почтового ящика. Для восстановления папки с архивного носителя необходимо выполнить следующие операции:
Настроить сервер восстановления для восстановления хранилища общедоступной папки.
С помощью утилиты Backup ОС Windows Server 2003 восстановить папку.
Войти на сервер восстановления Exchange, открыть Outlook, а затем скопировать общедоступную папку в гр5/-файл.
Войти на производственный сервер, загрузить .р^-фа^л в ваш профиль и скопировать папку обратно в дерево общедоступной папки производственного сервера.
Внимание! Не копируйте восстановленное хранилище папки на производственную систему. На сервере восстановления в хранилище общедоступной папки создаются новые системные каталоги. При копировании хранилиша на производственный сервер эти каталоги будут конфликтовать с уже сушествующими системными каталогами.
Использование Exmerge.exe для восстановления почтовых ящиков
После восстановления БД в Recovery Storage Group для перемещения восстановленных данных почтового ящика в постоянную группу хранения можно использовать утилиту Exmerge.exe. Этот способ можно использовать для восстановления всей БД или отдельного почтового ящика. Почтовые ящики в Recovery Storage Group являются изолированными (нс подключены) и недоступны для пользователей с помощью почтовых клиентов.
Для использования Recovery Storage Group должны выполняться следующие требования:
Вы должны войти на сервер с помощью учетной записи (например, Backup Operators)^ имеющей разрешения Receive As (Получать как) и Send As (Отправлять как) в отношении всех почтовых яшиков Exchange.
Совет Для предоставления этих разрешений можно создать группу безопасности (например, с именем mailboxrecovery), добавить свою учетную запись в эту группу, а затем предоставить этой группе все разрешения в отношении объекта-БД Exchange System Manager.
На Exchange-сервере необходимо создать Recovery Storage Group.
Необходимо убедиться, что оригинальная БД и почтовый ящик все еще существуют в AD.
Для использования Recovery Storage Group в целях восстановления данных почтового ящика необходимо выполнить следующие действия:
Настройте Recovery Storage Group;
Используйте контекстное меню объекта сервера для настройки Recovery Storage Group.
Укажите размещение протокола транзакций и системных путей.
С помощью контекстного меню Recovery Storage Group добавьте в нее восстанавливаемую БД.
Восстановите БД почтового ящика в Recovery Storage Group:
Используйте ваш архив и приложение восстановления, выберите файлы БД и протокола, которые вы хотите восстановить.
Определите каталог для временных файлов и укажите, если это последний восстанавливаемый архив в наборе.
口 После завершения восстановления, смонтируйте хранилище.
Выполните слияние данных почтового ящика из оригинальной и восстановленной БД:
Запустите Microsoft Exchange Mailbox Merge Wizard (Exmerge.exe) из командной строки.
Следуйте инструкциям мастера по определению метода экспортирования, а также укажите сервер-источник и сервср-приемник (когда Recovery Storage Group находится на том же сервере, что и рабочая БД, это — один сервер).
Выберите только те БД, которые будут восстановлены в Recovery Storage Group.
Укажите один или несколько восстанавливаемых почтовых ящиков.
При необходимости укажите соответствующее месторасположение.
Определите временный каталог
В соответствии с остальными инструкциями завершите работу мастера и переместите данные почтового яшика.
Мастер скопирует данные из почтовых яшиков в БД восстановления и выполнит слияние их с соответствующими почтовыми ящиками в оригинальной БД.
Восстановление кластеров
Процесс восстановления кластеров Exchange Server 2003 после отказа подобен процессу восстановления автономных серверов Exchange Server 2003. При восстановлении кластера вы столкнетесь с одним из следующих сценариев:
восстановление отдельного сервера-узла в кластере;
восстановление потерянного полномочного представительства кластера;
восстановление совместно используемого дискового ресурса, на котором находятся БД Exchange.
Восстановление отдельного сервера-узла в кластере
При отказе отдельного узла кластера ресурсы Exchange, выполняющиеся на этом узле, перемещаются на другой доступный узел кластера. Базы данных Exchange на совместно используемом хранилище остаются нетронутыми, и к ним можно обращаться с помощью виртуального Exchange-сервера из другого узла кластера. Эта функция безопасности обеспечивает надежность при авариях отдельного узла кластера. После того, как ресурсы перемешены на доступный узел кластера, выполните следующую процедуру для удаления нефункционируюшего узла и замены его новым:
С помощью Cluster Administrator * вы сел и те» потерянный узел-сервер из кластера.
Постройте новый узел-сервер, установив Windows 2003 на новый компьютер, и дайте ему новое имя компьютера.
3* Присоедините узел-сервер к кластеру.
4. Установите Exchange на узле-сервере и переместите ресурсы обратно на узел.
Восстановление потерянного полномочного представительства кластера
Если ресурс полномочного представительства архивировался, его можно восстановить после сбоя. Если, например, ресурс полномочного представительства кластера потерян вместе с базами данных Exchange, то ресурс полномочного представительства необходимо восстановить из архива.
Для восстановления ресурса полномочного представительства из архива выполните следующую процедуру:
Если с момента последней архивации подпись диска полномочного представительства была изменена, то для восстановления подписи воспользуйтесь утилитой dumpconfig из набора Windows Server 2003 Resource Kit.
Остановите выполнение службы Cluster Service на всех узлах кластера.
С помощью утилиты Backup ОС Windows Server 2003 восстановите данные о состоянии системы, включающие содержание диска полномочного представительства.
Появится предложение перезагрузить компьютер; не выполняйте перезагрузку. Вместо этого запустите утилиту Clusrest.exe из Resource Kit для восстановления содержимого каталога Systemroot\Cluster\Cluster_backup на диск полномочного представительства.
Перезапустите компьютер.
Восстановление БД совместно используемых ресурсов
В случае отказа совместно используемого дискового устройства, который применяется Exchange для своих баз данных, БД Exchange необходимо восстановить из архива. Для восстановления БД Exchange Server 2003 из архива выполните следующую процедуру:
Установите флажок Do Not Mount At Startup (He монтировать при запуске) для баз данных, владельцем которых являются виртуальные Exchange-серверы оастера.
Выполните действия, описанные в упражнении «Восстановление почтового ящика» (см. выше).
Совет На сервере кластера, который владеет дисковым ресурсом, необходимо проверить, что доступен совместно используемый ресурс, на котором находятся БД Exchange, н имеется возможность обращаться к ним.
С помощью Exchange System Manager проверьте, что БД смонтированы.
С помощью Event Viewer (Просмотр событий) проверьте журнал событий*
Сбросьте флажок Do Not Mount At Startup (He монтировать при запуске) для каждой успешно восстановленной БД.
Архивация и восстановление данных о состоянии системы
Поскольку Exchange Server 2003 основывается на AD, в ходе некоторых сценариев восстановления сбоев может понадобиться восстановить информацию AD. Для архивирования н восстановления AD на контроллерах домена можно использовать утилиту Backup ОС Windows Server 2003. Операцию архивирования можно выполнить, даже когда кон-
тролдср домена находится в оперативном режиме. Операцию восстановления можно выполнить только после перезагрузки контроллера домена в режиме Directory Services Restore (Восстановление служб каталога), нажав клавишу F8 при загрузке сервера. Архивация AD требует архивации данных состояния системы Windows Server 2003.
Процедуры архивации и восстановления данных состояния системы рассмотрены в упражнениях к этому занятию.
Полное восстановление серверов
Полное восстановление серверов включает восстановление как Exchange Server 2003, так и Windows 2003. При выполнении полного восстановления сервера необходимо до восстановления данных Exchange Server 2003 переустановить его в режиме Disaster Recovery (Аварийное восстановление). Переустановку Exchange Server 2003 необходимо производить» пока объект «Exchange-сервер» для этого сервера все еще присутствует в AD. Запуск программы Setup (Установка) в режиме Disaster Recovery (Аварийное восстановление) не изменяет н не воссоздает объекты AD восстанавливаемого сервера. Если запустить Setup в любом режиме, отличном от Disaster Recovery (Аварийное вос- стаповлениеХ то установка потерпит неудачу ввиду обнаружения повторного использования имени сервера.
Внимание! При восстановлении Exchange-сервера всегда используйте ключ /Disaster- Recovery. Если запустить Setup без этого ключа, то Setup запустится в режиме Reinstall и автоматически смонтирует хранилища почтовых ящиков и общедоступных папок после завершения процесса установки. Монтарование хранилищ до восстановления БД Exchange вызовет проблемы, включая потенциальную потерю электронных сообщений.
Перед восстановлением сервера, на котором запушен Exchange Server 2003, необходимо выполнение следующих требований:
Отказавшее аппаратное обеспечение должно быть заменено,
Требуется наличие установочных CD Windows 2003 и Exchange Server 2003, включая пакет обновления.
Должен быть доступен архив, полученный полным архивированием системного диска,
Должны быть доступными архивы всех БД Exchange Server 2003* Проверьте, что все объекты «рядовой сервер» существуют в AD.
Если восстанавливаемый сервер, на котором запущен Exchange Server 2003, является рядовым сервером в локальном домене, убедитесь, что AD также имеет объект- сервер для этого сервера.
Должен быть доступен архив контроллера домена, если это единственный контроллер домена в вашем домене.
Должен быть доступен набор архивов состояний системы Windows 2003.
Выполнение пробного восстановления
Проверить успешность архивации данных можно путем восстановления данных на другом компьютере в ходе пробного восстановления. Возможно, это и не всегда осуществимо для каждого сервера, особенно при крупных установках» Однако, выполнив восстановление и проверку отдельных серверов или устройств, можно проверить целостность системы и определить ряд потенциальных проблем.
Делегирование пробного восстановления
Вы можете потренировать новых ад мин и страторов, попросив их выполнить пробное восстановление. Это безопасный вариант проверить их навыки восста- но вле ния, который выполняется не в стрессовой ситуации, вызываемой восстановлением после реального крушения системы, а в спокойной обстановке. Это также избавляет вас от выполнения задач, которые вы считаете повторяющимися и скучными.
Лабораторная работа. Восстановление после аварии
В ходе лабораторной работы вы восстановите хранилище почтового я шика, удаленные сообщения, а также выполните архивацию и восстановление данных состояния системы. В эту лабораторную работу также включено упражнение по восстановлению всего сервера. Последнее упражнение слишком объемное для подробного пошагового описания. Тем не менее после рассмотрения всех упражнений 9Toi1 главы вы сможете попробовать выполнить его.
Упражнение 1. Восстановление хранилища почтового ящика
Это упражнение нацелено на восстановление хранилища почтового ящика из архива. Для выполнения упражнения у вас уже должно быть выполнено полное архивирование Му Storage Group, выполненное в оперативном режиме.
Откройте Exchange System Manager.
Перейдите Administrative Groups\First Administrative Group\Scrvers\ServerO l\My Storage Group, а затем щелкните Afv Storage Group.
В панели деталей щелкните правой кнопкой Default Mailbox Store (Почтовое хранилище по умолчанию), щелкните Dismount Store (Размонтировать хранилище), а затем щелкните Yes (Да) для продолжения.
В меню Start (Пуск) щелкните Run (Выполнить) и введите C:\Program Files\Exchsrvr\ Му Storage Group, а затем щелкните ОК
В C:\Program Files\Exchsrvr\Default Storage Group выберите все файлы, шелкните их правой кнопкой, а затем щелкните Сору (Копирокшъ).
Откройте Windows £л/>/огег (Проводник). Создайте новый каталог С:\Тетрогаry L。幻， перейдите в этот каталог и создайте в нем новый каталог Backup. Перейдите в каталог Backup и затем вставьте скопированные файлы в C:\TiEmporary Logs\Backup.
Закройте C:\7emporary Logs\Backup.
В меню Start (Пуск) щелкните All Programs (Все программы), укажите Accessories (Стандартные), укажите System Tools (Служебные), а затем щелкните Backup (Архивация).
В мастере Backup Or Restore Wizard, на странице Welcome То The Backup Or Restore Wizard (Мастер архипации н восстановления) шелкните Next (Далее).
На странице Backup Or Restore (Архивация и восстановление) выберите Restore Files And Sellings (Восстановить файлы и настройки), а затем щелкните Next (Далее).
На странице What То Restore (Что следует восстановить) в поле Items То Restore (Элементы для восстановления) раскройте File (Файл), раскройте Mybackup.bkf, установите флажок ServerOl\Microsof( Information Store\Му Storage Group, а затем щелкните Next (Далее).
В диалоговом окне Restore Database Server (Восстановление сервера базы данных) н поле Temporary Location For Log And Patch Files (Временное размещение файлов журналов и исправлений) введите C:\Jemporary Logs, установите флажки Last Restore Set (Log File Replay Will Start After This Restore Completes) (Последний набор восстановления (После завершения восстановления файл журнала будет повторяться)) и Mount Database After Restore (Монтировать базу данных после восстановления). Страница мастера должна выглядеть, как на рис. 12-7. Шелкните Next (Далее).
Рис, 12-7, Установка параметров восстановления
На странице Completing The Backup Or Restore Wizard (Завершение работы мастера архивации и восстановления) щелкните Finish (Готово)*
Если появится окно Check Backup File Location (Проверка размещения архивного файла), проверьте, что в нем указано правильное размещение файла архива, а затем шелкните ОК.
После завершения восстановления щелкните Report (Отчет) в диалоговом окне Restore Progress (Ход восстановления).
Проверьте, что протокол не содержит ошибок, а затем закройте его.
Щелкните Close (Закрыть) в диалоговом окне Restore Progress (Ход восстановления).
Упражнение 2. Использование 0WA для восстановления удаленных сообщений
В этом упражнении удаляются сообщения из вашего почтового ящика, а затем при использовании OWA они восстанавливаются. В папке Deleted Items (Удаленные) необходимо иметь хотя бы одно письмо. Для восстановления удаленных сообщений выполните следующие действия:
Откройте Internet Explorer и подключитесь к http://ServerO 1/exchange.
В списке Folders (Папки) щелкните Deleted Items (Удаленные).
В Deleted Items (Удаленные) в панели инструментов щелкните Empty Deleted Items (Очистить папку «Ужаленные»), а затем щелкните ОК для закрытия окна предупреждения. Папка Deleted Items (валенные) теперь должна стать пустой.
В Deleted Items (Удаленные) в панели инструментов щелкните Recover Deleted Items (Восстановить удаленные) (рис. 12-8).
奇 Microsoft Outlook Web Access - MkroAoH [nte«iet Storer
File 韋批 ^lew Ffivarites lods Це1р
F j^3 Gq I Units “F j^3 Gq I Units “QBack * g •田国.1 丿 Search Favod 看 Madia 召 | ：」” J 画 * Xi
F j^3 Gq I Units “
F j^3 Gq I Units “
哂妬行图%3：倒8^酊3传х吧史
Di - Outlook Web Acct ■ Deleted Items (TwhLlne Wew •)
日—:q且日—:q且Г J Administrator .Calendar lid Contacts电 Drafts：□ Inbox (l) 園 Journal rgJur^e-md ij Notes t^g Outbox @ Sent ItemsГ J Administrator .Calendar lid Contacts电 Drafts：□ Inbox (l) 園 Journal rgJur^e-md ij Notes t^g Outbox @ Sent Items川喚"玛x |津仙时=展＜4嚴里豆闽^〈学Deleted川喚"玛x |津仙时=展＜4嚴里豆闽^〈学Deleted
日—:q且
日—:q且
Г J Administrator .Calendar lid Contacts
电 Drafts
：□ Inbox (l) 園 Journal rgJur^e-md ij Notes t^g Outbox @ Sent Items
Г J Administrator .Calendar lid Contacts
电 Drafts
：□ Inbox (l) 園 Journal rgJur^e-md ij Notes t^g Outbox @ Sent Items
川喚"玛x |津仙时=展＜4嚴里豆闽^〈学
Deleted
川喚"玛x |津仙时=展＜4嚴里豆闽^〈学
Deleted
题、瓦加了荷山庇CHANGE, AdmirtSiator/DeJeted ftems/TUmd-conter |；|© Trusted Vies'
Рис. 12-8. Восстановление удаленных сообщений
В окне Recover Deleted Items (Восстановить удаленные) выберите одно или несколько сообщений, которые необходимо восстановить, а затем щелкните Recover (Восстановить).
В окне Recover Deleted Items (Восстановить удаленные) щелкните Close (Закрыть).
Убедитесь, что в папке Deleted Items (Удаленные) перечислены восстановленные сообщения. Переместите необходимые письма в папку Inbox (Входящие),
Закройте OWA.
Упражнение 3・ Архивация данных состояния системы
При некоторых сценариях восстановления возникает необходимость вернуть систему к исходному состоянию, зафиксированному в архиве. Для архиваиии данных о состоянии системы выполните следующие действия:
На ServerO 1 закройте все приложения.
В меню Start (Пуск) щелкните All Programs\System Tools (Все программы\Системные), а затем щелкните Backup (Архивация).
В мастере Backup Or Restore Wizard на странице Welcome То The Backup Or Restorc Wizard (Мистер архивации и восстановления) щелкните Next (Далее).
На странице Backup Or Restore (Архивация и восстановление) выберите Back Up Files And Settings (Архивация файлов и настроек), а затем щелкните Next (Далее),
На странице What То Back Up (Что следует заархивировать) выберите Let Me Choose What To Back Up (Предоставить возможность выбора объектов для архивации), а затем щелкните Next (Далее).
В поле Hems То Back Up (Элементы для архивации) разверните Му Computer (Мой компьютер) и установите флажок System State, после чего щелкните Next (Далее).
В поле Choose A Place lb Save Your Backup (Выберите месторасположение для данного архива) введите D:\Mybackup, в поле Type A Name For This Backup (Введите имя для данного архива) введите System State, а затем щелкните Next (Далее).
Архивирование может занять и род о лжи тел ьное время. Щелкните Report (Отчет) для проверки успешности выполнения задачи. Закройте протокол архивации и диалоговое окно Backup Progress (Ход архивации).
Упражнение 4. Восстановление данных состояния системы
Если данные о состоянии системы архивированы, то имеется возможность восстановить сведения AD на контроллере домена. Для восстановления состояния системы на контроллере домена, выполните следующие действия:
L Перезапустите ServerOI и нажмите клавишу <F8> для того, чтобы получить предложение загрузиться в режиме Directo/y Services Restore.
Войдите в систему с тем же именем администратора и паролем, которые использовались при назначении сервера на роль контроллера домена.
Появится предупреждение о том, что компьютер загружается в безопасном режиме (Safe mode). Щелкните ОК для закрытия окна с предупреждением.
В меню Start (Пуск) щелкните All Programs (Все программы), укажите Accessories (Стандартные), укажите System Tools (Системные), а затем шелкнитс Backup (Архивация).
В мастере Backup Or Restore Wizard на странице Welcome То The Backup Or Restore Wizard (Мастер архивации и восстановления) щелкните Next (Далее).
На странице Backup Or Restore (Архивация и восстановление) выберите Restore Files And Settings (Восстановить файлы и настройки), а затем щелкните Next (Далее),
На странице Whal То Restore (Что следует восстановить) в контекстной панели дважды щелкните SystemState.bkf.
В панели Items То Restore (Элементы для восстановления) установите флажок рядом с System State. Дважды щелкните System State и убедитесь, что в контекстной панели появился пункт SYS VOL (рис. 12-9), Щелкните Next (Далее).
Backup or Restore WkardBackup or Restore WkardWhat Io RestoreWhat Io RestoreYou can restoct any combination 国 dr»o$. Hdet免 o( filei-You can restoct any combination 国 dr»o$. Hdet免 o( filei-Broufse...Broufse...* dick an *em g the Wt lo *ee h content，Then edect Ihe皿 пай io 池 drive, folder, w fte that you want Jo 贈Moie.* dick an *em g the Wt lo *ee h content，Then edect Ihe皿 пай io 池 drive, folder, w fte that you want Jo 贈Moie.llqBi Ю rpriot 口llqBi Ю rpriot 口El □fa» FileЙ' D Q Mybackup bkf create 由□ @ Mybeckup bkt aeale Й -Q @ SystemState, ЬМ ciea 田4 System StateEl □fa» FileЙ' D Q Mybackup bkf create 由□ @ Mybeckup bkt aeale Й -Q @ SystemState, ЬМ ciea 田4 System Stateuulii Bool Files电 Ceitilicate Serve画 CCM+ Class Regtslii Bool Files电 Ceitilicate Serve画 CCM+ Class Regts邑E“；邑E“；±L±L2J2JCancel ICancel IРис. 12-9. Босстанов.1ение состояние системыРис. 12-9. Босстанов.1ение состояние системы
Backup or Restore Wkard
Backup or Restore Wkard
What Io Restore
What Io Restore
You can restoct any combination 国 dr»o$. Hdet免 o( filei-
You can restoct any combination 国 dr»o$. Hdet免 o( filei-
Broufse...
Broufse...
* dick an *em g the Wt lo *ee h content，Then edect Ihe皿 пай io 池 drive, folder, w fte that you want Jo 贈Moie.
* dick an *em g the Wt lo *ee h content，Then edect Ihe皿 пай io 池 drive, folder, w fte that you want Jo 贈Moie.
llqBi Ю rpriot 口
llqBi Ю rpriot 口
El □fa» File
Й' D Q Mybackup bkf create 由□ @ Mybeckup bkt aeale Й -Q @ SystemState, ЬМ ciea 田4 System State
El □fa» File
Й' D Q Mybackup bkf create 由□ @ Mybeckup bkt aeale Й -Q @ SystemState, ЬМ ciea 田4 System State
u
u
lii Bool Files
电 Ceitilicate Serve
画 CCM+ Class Regts
lii Bool Files
电 Ceitilicate Serve
画 CCM+ Class Regts
邑
E
“；
邑
E
“；
±L
±L
2J
2J
Cancel I
Cancel I
Рис. 12-9. Босстанов.1ение состояние системы
Рис. 12-9. Босстанов.1ение состояние системы
На странице Completing The Backup And Restore Wizard щелкните Advanced (Дополнительно).
Убедитесь, что на странице Where То Restore (Выбор места для восстановления) указано Original Location (Исходное размещение), а затем щелкните Next (Далее).
Щелкните ОК для закрытия окна предупреждения.
Убедитесь, что на страниис How То Restore (Способ восстановления) выбран вариант Leave Existing Files (Recommended) (Оставить существующий файл (рекомендуется)), а затем щелкните Next (Далее).
Убедитесь, что на странице Advanced Restore Options (Дополнительные параметры восстановления) выбран вариант Restore Junction Points, But Not The Folders And File Data They Reference (Восстановление точек соединения, а не папок и файлов, на которые они ссылаются) (рис. 12-10. Это гарантирует, что будут воссозданы точки sysvol junction. Щелкните Next (Далее).
Backup or Restore Wizwd
信信Advanced Restore Options
信
信
You can choose to restore securty 事 spead system files
Setecl (he ofAicm you want to us削
口尿酎中調匈®.硕腼承
P Rfistore junction points/but not the loldari and file data
H 叫 reference
R £i eserve existing vafutfie mount pointe
Г Rustore the £Iu:e。亡二匚号 t 二《he quoi'j/n disk and -all Q№i nodes
厂 When 佬纣o«m iwiicated d骐 聴h, matk the lastaad data a* the p(ima«y 痴凸 f« all lepbces
«Rack I№禮》~~ICancel |
Рис. 12-10. Указание дополнительных параметров восстановления
Щелкните Finish (Готово).
После завершения восстановления в диалоговом окне Restore Progress (Ход восста- новлення) щелкните Report (Отчет).
Убедитесь, что в протоколе восстановления нет ошибок.
Щелкните Close (Закрыть) для закрытия окна Restore Progress (Ход восстановления).
Щелкните Yes (Да) для перезапуска ServerOl.
Упражнение 5. Восстановление рядового сервера Exchange Server 2003
В ходе этого упражнения вы восстановите сервер Exchange Server 2003 целиком. Как уттом и нал ось ранее, это упражнение очень сложное для описания его пошагового выполнения. Тем нс менее, если вы выполнили вес упражнения этой и предыдущей главы, вы сможете выполнить и его. Для восстановления рядового сервера Exchange Server 2003 выполните следующие действия:
L Если на поврежденном диске сохранилась возможность доступа к жестким дискам, скопируйте файлы БД Exchange Server 2003 с этого сервера на сетевой общедоступный ресурс или съемный носитель.
Замените поврежденное оборудование. Убедитесь, что все заменяемое оборудование по возможности идентично тому, что стояло до аварии.
Установите на восстанавливаемый сервер Windows 2003.
Восстановите набор архивов Windows, который был создан на поврежденном сервере. на сервер, который вы переделываете. Восстановление набора архивов Windows приводит к восстановлению системных файлов Windows 2003, включая БД реестра и файлы метабазы Internet Information Services (IIS). Этот процесс также вернет восстанавливаемому серверу оригинальное NetBIOS-имя и правильно поместит его
в домен. Если этот шаг не вы полнить, вы не сможете корректно запустить Setup в режиме Disaster Recovery (Авярий>юе восстановление).
Установите пакеты обновления Windows 2003, использовавшиеся на поврежденном сервере.
Установите приложения (кроме Exchange Server 2003), которые будут использовать* ся на сервере*
Совет Устанавливайте приложения на те же места и с той же настройкой, что и у приложений на поврежденном сервере.
Восстановите прочие архивы, которые были созданы на поврежденном сервере.
Запустите Setup пакета Exchange Server 2003 в режиме Disaster Recovery. Этот процесс произведет установку Exchange-приложений и всех необходимых файлов на восстанавливаемый сервер. Этот процесс также воспользуется сведениями, хранящимися в объекте «Exchange Server» в AD для восстановления конфигурации оригинального сервера. К этим сведениями относятся: имена групп хранения Exchange, имена почтовых яшиков, имена общедоступных папок и настройки виртуального сервера. При запуске Exchange в режиме Disaster Recovery убедитесь, что выбраны все компоненты, существовавшие на поврежденном сервере.
Если еще не выбрано, то для каждого компонента, который был установлен на поврежденном сервере, выберите Disaster Recovery (Аварийное восстановление).
Установите Exchange Server 2003 на то же дисковое устройство и в тот же каталог; что и на поврежденном сервере. По крайней мерс, необходимо обеспечить, чтобы были доступны все буквы дисков, на которых были расположены файлы БД и файлы протокола транзакций.
Установите имеющиеся «исправлениям (hotfixes), которые были использованы на поврежденном сервере.
В режиме Disaster Recovery (Аварийное восстановление) установите пакеты обновления для Exchange Server 2003, которые были использованы на поврежденном сервере, Установка пакетов обновления в этом режиме защищает базы данных от монтирования в конце процесса установки пакетов, что позволяет сразу продолжить восстановление БД Exchange из архива.
Если дисковые устройства, содержащие файлы БД и файлы протокола транзакций, потеряны в ходе аварии, восстановите БД Exchange Server 2003, которые существовали на поврежденном сервере.
Если была возможность создать архив файлов протокола транзакций на поврежденном сервере (на шаге 1 этого упражнения), скопируйте эти файлы в соответствующее место на сервер восстановления. Если не скопировать самые последние файлы протокола транзакций на восстанавливаемый сервер, то последние изменения, которые были выполнены на Exchange-сервере перед аварией, будут потеряны.
Если на поврежденном сервере были полнотекстовые индексы, восстановите их путем воссоздания на восстанавливаемом сервере.
Закрепление материала
Ниже представлены вопросы, предназначенные для закрепления ключевой информации этого занятия. Если вы не сможете ответить на вопрос, повторно мзучнте материал занятия н попробуйте снова ответить на этот вопрос. Ответы на вопросы представлены в разделе «Вопросы и ответы» 9 конце главы.
L Вы хотите восстановить три группы хранения, каждая из которых содержит пять БД. Сколько операций восстановления необходимо выполнить?
Организация Exchange Server 2003 имеет выделенный сервер для общедоступной папки. Вы хотите восстановить отдельное хранилище общедоступной папки из архива. С какими сложностями вы столкнетесь и как достичь своей цели?
Выполнена архиваиия данных состояния системы на контроллере домена. Что необходимо сделать для восстановления этих данных?
Что случится с ресурсами Exchange Server 2003, работающем на отдельном узле кластера, если этот узел откажет?
Резюме
Для восстановления поврежденной группы хранения Exchange Server 2003 необходимо размонтировать зту группу и восстановить ее из архивной копии. Если доступны файлы протокола транзакций, то БД могут воспроизвести все завершенные транзакции вплоть до момента отказа.
Если необходимо восстановить удаленный почтовый яшик, для которого не закончился период сохранения, то можно восстановить и подключить его не восстанавливая всю БД. Если период сохранения истек, то для восстановления ящика необходимо воспользоваться сервером восстановления.
Имеется возможность позволить пользователям извлекать сообщения из папки Deleted Items в Outlook мли OWA.
Если необходимо восстановить данные AD на контроллере домена, например, если этот контроллер является единственным в этом домене, то необходимо восстановить данные состояния системы. Эти данные можно восстановить, перезагрузив сервер в режиме Directory Services Restore,
創 Пример из практики
Вы являетесь администраторам Exchange и домена в компании Tailspin Toys. Организация Exchange Server 2003 имеет выделенный обшедоступный сервер* Стратегия архивации: полная архивация для всех хранилищ Exchange каждые выходные и добавочное архивирование по выходным. Неожиданно Tailspin Toys приобрела дополнительный сервер, который вы решили сконфиг>т)ировать как сервер восстановления и контроллер домена в отдельном лесу, отличном от леса failspintoys.com AD. Некоторые старшие
руководители сомневаются в рациональности настройки дорогостоящего компьютера не как части Exchange-организации компании Tailspin Toys.
Требование 1 Руководство требует, чтобы функция внутренней электронной почты была доступна круглосуточно в любой день недели.
Требование 2 Сотрудница покинула компанию шесть месяцев назад, и ее почтовый ящик удален. В этом ящике была важная информация, и вас просят восстановить ее.
■ Требование 3 Главный управляющий по информации компании Tailspin Toys требует доказать, что данные частного и общедоступного хранилища в случае аварии могут быть восстановлены. Также он хочет иметь гарантии того, что отдельная общедоступная папка может быть восстановлена без восстановления каждой папки в группе.
Требование 1
Первое требование заключается в реализации функционирования внутренней электронной почты 24 часа в сутки и 7 дней в неделю.
Ваш главный администратор знает, что имеется возможность вы пол нить архивацию в оперативном режиме, но для восстановления данных хранилище почтовых ящиков должно быть размонтировано. Она также осведомлена о значимости пробного восстановления. Ранее для проверки восстановления вы использовали группы восстановления хранилищ, но это выглядело как не вполне удовлетворяющее решение, поскольку данные невозможно восстановить точно в то же хранилище почтового ящика, до тех пор. пока не будет размонтировано это хранилище. Что сказать главному администратору?
Главный управляющий по информации хочет знать, как вы намереваетесь настраивать Exchange-сервер в другом лесу AD, и то время как Tailspin Toys имеет только один лес. Он хочет знать, будет лн этот сервер физически подключен к сети компании Tailspin Toys. Что ему сказать?
Требование 2
Второе требование заключается в возможности восстановления значимой информации из удаленного почтового ящика.
Необходимо восстановить почтовый ящик, который был удален 6 месяцев назад. Какие сведения об этом ящике вам потребуются?
Какнс средства вам потребуются для редактирования свойств конфигурации контейнера на сервере восстановления в AD?
Требование 3
Третье требование заключается в доказательстве, что в случае аварии данные как частного, так и общедоступного хранилища могут быть восстановлены.
Ваш главный управляющий по информации требует доказательств, что в случае сбоя вы сможете восстановить данные из архивов. Какие аргументы вы можете представить?
[7 Зак 450
Ваш главный управляющий по информации хочет подтверждений того, что вы сможете восстановить указанную общедоступную папку в хранилище общедоступных папок, не замещая информацию во всех остальных общедоступных папках. Что ему сказать?
匐］ Практикум по устранению проблем
В этой практической работе вы настраиваете Serveг02 таким образом, что он может функционировать как сервер восстановления для организации Exchange Server 2003 в компании Tailspin Toys. Server02 будет выдвинут на роль первого контроллера домена в лесу contoso.com. Вы должны обеспечить соответствие всех представленных ниже имен, используемых сервером восстановления, именам, используемым оригинальным Exchange- сервером (ServcrOl): ■ имя организации;
имя административной группы;
имя группы хранилищ;
логическое имя БД.
Перед выполнением этой практической работы необходимо обеспечить соответствие системным требованиям, указанным в разделе «Прежде всего* в начале этой главы.
Упражнение 1, Настройка Server02 в качестве сервера восстановления
Для настройки Scrvcr02 в качестве сервера восстановления выполните следующие действия:
На ServerOZ откройте Control Panel (Панель управления) и запустите Add Or Remove Programs (Добавление и удаление программ).
Выберите Microsoft Exchange, а затем щелкните Change/Remove (Изменить/Уцалить).
На странице Microsoft Exchange Installation Welcome щелкните Next (Далее).
На странице Component Selection (Выбор компонентов) щелкните левый столбец поля Component (Компонент) рядом с Microsoft Exchange, выберите Remove (Уцалить), а затем щелкните Next (Далее).
На странице Installation Summary (Сводка по установке) щелкните Next (Далее),
Exchange Server 2003 удаляется.
Внимание I Не удаляйте Server02 из домена Tailspin Toys до того, как удалите Exchange. Если удалить сервер из домена, то компьютер будет чрезмерно долго перезагружаться и завершать сеанс.
7* Щелкните Finish (Готово) на странице Completing The Microsoft Exchange Wizard (Завершение работы Мастера установки Exchange).
Закройте Add Or Remove Programs (Добавление и удаление программ).
В меню Start (Пуск) щелкните Му Computer (Мой компьютер), а затем щелкните Properties (Свойства).
На вкладке Computer Name (Имя компьютера) щелкните Change (Изменить).
Выберите Workgroup (Рабочая группа) и в поле Workgroup Name (Имя рабочей группы) введите WORKGROUP.
Шелкните ОК.
. Укажите учетную запись и пароль администратора, использовавшиеся при настройке этого сервера, а затем щелкните ОК.
Щелкните ОК после приветствия в рабочей группе. Снова щелкните ОК и перезагрузите компьютер,
Войдите в систему с использованием имени и пароля администратора, указанных в действии 13, и переведите сервер в режим контроллера домена в домене contoso, сот.
Совет Более подробные инструкции по выдвижению сервера на роль контроллера домена в новом лесу не рассматриваются. Если с этой процедурой возникли какие- либо проблемы, обратитесь к справочной системе Windows Server 2003.
Войдите на Servcr02 с использованием тех же учетных данных и установите Exchange Server 2003 Enterprise Edition. He забывайте, что это новый лес и вам необходимо запустить ForestPrep н DomainPrep. Имя организации должно быть таким же, как в организации Exchange Server 2003 на сервере ServerOl (TailSpinToys).
С помощью консоли Active Directory Domains And Trusts задайте нетранзитивные двухсторонние доверительные отношения (non-transitive two-way trust) между доменами contosoxom н tailspintoys,сот. Это делается для того, чтобы вы смогли обращаться к папке D:\Mybackup на ServerOl с Server02,
На ServerOl сделайте доступной папку D:\Mybackup. Убедитесь, что администраторы домена contoso.com имеют разрешение чтения в отношении этой папки.
На Server02 настройте Exchange System Manager на отображение Administrative Groups и Routing Groups. Создайте группу хранения и назовите ее Му Storage Group.
Удалите Server02 из AD TailSpinToys. Удалите MX-запись Server02 в DNS-зоне tailspintoys.com. Создайте MX-запись для ServerOl в DNS-зоне contoso.corn.
Разрешите перенос зон в DNS-зонах tailspintoys.com и contoso.com.
На Serveг02 создайте вторичную DNS-зону для tailspintoys.com Active Directory Integrated zone на ServerOL
Ha ServerOl создайте вторичную DNS-зону для tailspintoys.com Active Directory Integrated zone на Server02.
Закройте все открытые консоли. Перезагрузите Scrver02,
馭 Резюме главы
Если файлы БД и файлы протокола транзакций находятся на одном дисковом устройстве, то в случае отказа этого диска восстановить данные можно только из последнего архива. Если файлы протокола транзакций находятся на другом диске и циклическое протоколирование отключено, то файлы БД можно восстановить вплоть до момента отказа.
RAID-системы могут защитить данные и обеспечить бесперебойную защиту. Microsoft рекомендует ESA-технологию дискового хранилища для малых, a SAN-технологию ——для средних и крупных организаций.
Архивация копированием и полная архивация сохраняют как файлы БД, так и файлы протокола транзакций. Добавочное и дифференциальное архивирование сохраняют только протоколы транзакций. Полная архивация усекает протоколы транзакций.
Для восстановления поврежденной группы хранения Exchange Server 2003 необходимо размонтировать ее и восстановить данные из архива. Если файлы протокола транзакций доступны, то БД сможет восстановить систему за счет повтора всех завершенных транзакций до момента отказа,
Если требуется на контроллере домена восстановить данные AD, например, когда это единственный контроллер в домен% то необходимо восстановить данные состояния системы. Эти данные можно восстановить при перезагрузке сервера в режиме Directory Services Restore,
創 Рекомендации по подготовке
к экзамену
Перед сдачей экзамена просмотрите основные положения и основные термины, представленные в этой главе. Для дополнительной тренировки обратитесь к занятиям.
Основные положения
Восстановить БД непосредственно до момента отказа можно, только если отключено циклическое протоколирование и файлы протокола транзакций хранятся отдельно от файлов БД (на другом диске).
Системы RAID-l, RAID-0+1 и RA1D-5 могут защитить данные н обеспечить работоспособность даже в случае отказа. RAID-О повышает производительность ввода/ вывода» но не обеспечивает отказоустойчивости.
Полная архивация усекает протоколы транзакций. Остальные типы архивации не могут удалять внесенные в БД файлы протоколов, и их нельзя удалять вручную.
Для восстановления удаленного почтового ящика после истечения периода сохранения необходим сервер восстановления. Сервер восстановления также можно использовать для восстановления хранилища общедоступных папок на специально выделенный сервер общедоступных папок. Сервер восстановления должен находиться в отдельном лесе AD.
Основные термины
Протокол транзакций * transaction log — Сочетание аппаратных и программных средств, обеспечивающих безопасность системы, обычно хпя предотвращения несанкционированного доступа к внутренней сети.
Windows 2003 Backup — Утилита архивации и восстановления, входящая в состав Windows Server 2003. Эта утилита может использоваться для архивации н восстановления групп хранения Exchange Server 2003.
Циклическое протоколирование - circular logging — Режим, который повторно использует файлы протокола транзакций и предотвращает заполнение ими жесткого диска. Если включить циклическое протоколирование, вы не сможете использовать файлы протокола транзакций для восстановления данных хранилища Exchange вплоть до момента отказа.
Служба фонового копирования тома ~ Volume Shadow Copy Service — Служба Windows Server 2003, позволяющая программам архивации (таким как Backup Windows 2003) создавать ^снимок» данных Exchange Server 2003 в определенный момент времени и архивацию этого «снимка».
Сервер восстановлен^# - recovery sener — Это сервер Exchange Server 2003, находящийся в лесу* отличном от леса организации Exchange Server 2003. Сервер восстановления позволяет восстанавливать удаленный почтовый ящик после истечения врсме- ни сохранения, восстанавливать хранилища общедоступных папок и выполнять проасрочное восстановление без демонтажа производственных групп хранения.
Щ Вопросы и ответы
Закрепление материала занятия 1
Файлы БД группы хранения Sales хранятся на четырехдисковом массиве RAID-0. Файлы протокола транзакций хранятся на том же массиве. Циклическое протоколирование не включено. Вы выполняете полную архивацию в ночь на понедельник, а добавочную — в ночь на вторник, В среду в 15:00 отказал один из дисков массива. Какое предложение верно?
Вы не можете извлечь данные, записанные в массив во вторник и в среду.
Вы можете восстановить данные вплоть до ночной архивации во вторник*
Вы можете восстановить данных, архивация которых выполнялась в ночь на вторник, а затем выполнить восстановление с повтором всех завершенных транзакций для восстановления данных до 15:00 среды.
Нет необходимости восстанавливать данные. Они расположены на отказоустойчивом массиве.
Правильный ответ — Ь*
Какая технология хранения обычно имеет свой 1Р-адрсс?
RAID.
SAN.
ESA.
NAS.
Правильный ответ — d.
Ваши файлы протокола транзакций находятся на «четырехшпиндельном» дисковом массиве RA1D-0+1. Диски А и В составляют чередующийся том, так же как и диски С и D. Два чередующихся тома составляют зеркало. Диск А отказал. В ходе замены диска А ваш помощник неожиданно повредил диск В. Как выполнить восстановление s этой ситуации?
Поскольку диски А и В находятся на одной стороне зеркала, копии всех файлов протокола транзакций имеются н на неповрежденных дисках С и D. Необходимо заменить диски А и В и в ходе восстановления зеркала убедиться в копировании всех данных с томов, обеспечиваемых С и D, на тома, обеспечиваемые Л и В. Разумней сначала выполнить архивацию файлов протокола транзакций, если вы этого еще не сделали.
Закрепление материала занятия 2
L Файлы протокола транзакций н БД хранятся на различных дисках. Циклическое протоколирование не включено. Дифференциальная архивация выполняется ночью по выходным. После выходных выполняется архивация копированием с помещением данных на ленту [стример]. С каждыми разом ночное копирование становится более длительным, и появляется сообщение о том, что жесткий диск, содержащий файлы протокола транзакций, близок к заполнению. Что необходимо предпринять?
Выполнить полную архивацию. Это приведет к усечению файлов протокола транзакций. Ввиду того, что ни архивирование копированием, ни дифференциальное архивирование не удаляет файлы транзакций и неудаленные файлы заполняют ваш диск. Кроме того, вам необходимо изменить стратегию архивации и периодически выполнять полную архивацию.
Вы решили воспользоваться программой архивации стороннего производителя, использующей метод фонового копирования. Вы не хотите выполнять архивацию в автономном режиме и хотите, чтобы архивированные БД были согласованными. Что необходимо проверить и какие действия предпринять?
Необходимо убедиться4 что программа стороннего производителя поддерживает Microsoft VSS. Необходимо включить эту службу на серверах Exchange Server 2003 и установить автоматический запуск этой службы.
Что необходимо сделать для того, чтобы гарантировать аозможность восстановления организации Exchange Server 2003 после отказа дискового ресурса полномочного представительства?
Для обеспечения возможности восстановления ресурса представительства необходимо выполнить либо полную архивацию компьютера, либо архивацию Windows на узле, который владеет ресурсом полномочного представительства.
Закрепление материала занятия 3
Вы хотите восстановить три группы хранения, каждая из которых содержит пять БД, Сколько операций восстановления необходимо выполнить?
Три* Поскольку каждая группа хранения совместно использует набор архивов и файлы протокола, восстановление лучше выполнять по одной группе хранения за раз. Восста- нокление множества хранилищ в группе хранения может выполняться одновременно.
Организация Exchange Server 2003 имеет выделенный сервер для общедоступной папки. Вы хотите восстановить отдельное хранилище общедоступной папки из архива. С какими сложностями вы столкнетесь и как достичь своей цели?
Если восстанавливать из архива отдельное хранилище общедоступных папок, то помимо восстановления только одной папкн, которую вы пытались восстановить, информация во всех остальных существующих общедоступных папках будет заменена данными нз архива. Если имеется специально выделенный сервер общедоступных папок, то для восстановления одной общедоступной папкн с архивного носителя необходимо исполь> зовать сервер восстановления.
Выполнена архивация данных состояния системы на контроллере домена. Что необходимо сделать для восстановления этих данных?
Перезагрузить контроллер домена и в ходе процесс перезагрузки сервера нажать клавишу F8. Выбрать режим загрузки Directory Services Restore (Восстановление служб каталога) и выполнить восстановление в этом режиме.
Что случится с ресурсами Exchange Server 2003, работающими на отдельном узле кластера, если этот узел откажет?
При отказе отдельного узла кластера ресурсы Exchange Server 2003* работавшие на этом узле, перемещаются на другой доступный узел кластера. Базы данных Exchange на совместно используемом хранилище остаются нетронутыми, и к ним можно обра- ■даться с помощью виртуального сервера Exchange с другого узла кластера.
Пример из практики. Требование 1
Ваш главный администратор знает, что имеется возможность выполнить архивацию в оперативном режиме, йодля восстановления данных хранилище почтовых ящиков должно быть размонтировано. Ом также осведомлен о значимости пробного восстановления. Ранее для проверки восстановления вы использовали группы восстановления хранилищ, но это выглядело как нс вполне удовлетворяющее решение, поскольку данные невозможно восстановить точно в то же хранилище почтового ящика, до тех пор, пока не размонтировать это хранилище. Что сказать главному администратору?
Вы намереваетесь создать сервер восстановления. Он будет содержать хранилища почтового ящика точно с такой же конфигурацией, как и хранилище в текущей организации. Вы можете выполнить пробное восстановление на сервере восстановления, на нарушая организацию Exchange для lailspin fIbys.
Совет Восстановление групп хранения описаны в главе 14 «Устранение неполадок Microsoft Exchange Server 2003».
Главный управляющий по информации хочет знать, как вы намереваетесь настраи* вать Exchange-сервер в другом лесу AD, в то время как Tailspin Toys имеет только один лес. Он хочет знать, будет ли этот сервер физически подключен к сети компании Tailspin Toys» Что ему сказать?
Для создания сервера восстановления необходимо сконфигурировать сервер Server 2003 в другом лесу Exchange-организации. Поскольку другого леса нет, то необходимо выдвинуть сервер на роль контроллера домена. Компьютер может быть физически подключен к сети.
Пример из практики. Требование 2
Необходимо восстановить почтовый яшик, который был удален 6 месяцев назад* Какие сведения об этом яшике вам потребуются?
Необходимо знать значение атрибута LcgacyExchangeDN группы администрирования, содержащей почтовый ящик, который необходимо восстановить. Значения LegacyExchangeDN для /0—<Имя организаций и /OU=< Имя сайта > в контейнере конфигурации в AD на сервере восстановления должны соответствовать атрибутам LegacyExchangeDN производственного сервера.
2* Какие средства вам потребуются для редактирования свойств конфигурации контейнера на сервере восстановления в AD?
Для редактирования этих свойств можно воспользоваться редактором Active Directory System Interface (ADSI) Edit.
Пример из практики: Требование 3
Ваш главный управляющий по информации требует доказательств, что в случае сбоя вы сможете восстановить данные из архивов. Какие аргументы вы можете представить?
После настройки сервера восстановления появляется возможность восстанавливать на нем частные и общедоступные хранилища. Это можно будет делать, не нарушая работы служб электроиной почты и общедоступных хранилищ компании Tailspin Toys.
Ваш главный управляющий по информации хочет подтверждений того, что вы сможет восстановить указанную общедоступную папку в хранилище общедоступных папок, не замещая информацию во всех остальных общедоступных папках. Что ему сказать?
Если попробовать восстановить общедоступную папку на том же сервере, на котором она хранилась, то информация во всех остальных общедоступных папках будет заменена данными из набора архивов. Это препятствие можно преодолеть, создав копию папки на другом сервере, который позволит реплицировать копию общедоступной папки на тот сервер, на котором она потеряна. Если имеется выделенный сервер общедоступных папок и вы не можете реплицировать копию общедоступной папкн на другой сервер в организации Exchange Server 2003, то для восстановления общедоступной папки необходимо использовать сервер восстановления. После этого экспортировать данные общедоступной папкн в .pst-файл и загрузить его н ваш профиль на производственном сервере*
「ПАВА 1 3
Контроль работы Microsoft Exchange Server 2003
Занятие 1. Выполнение ежедневного мониторинга и обслуживания Exchange Server 2003 492 Занятие 2. Выполнение планового контроля и обслуживания Exchange Server 2003509
Занятие 3. Выполнение контроля и обслуживания Exchange Server 2003 по требованию 522
Темы экзамена
Управление, контроль и устранение неполадок в состоянии сервера, ■ Управление, контроль и устранение неполадок хранилища данных.
Управление, контроль и устранение неполадок в производительности инфраструктуры.
В этой главе
Выполнение контроля или наблюдения за службами и ресурсами Microsoft Exchange Server 2003 требуется для того, чтобы определить проблемы до того, как они коснутся ваших пользователей. Контроль также позволяет определять тенденции* указывающие на проявление проблемы в будущем при планировании дальнейшего роста. Критические службы должны наблюдаться ежедневно, что будет гарантией их правильной работы. Плановый (по графику) контроль позволяет накапливать данные, требующиеся для анализа тенденций и планирования емкости. Если ежедневный или плановый контроль определит потенциальную проблему, либо пользователь сообщит о потенциальной проблеме, то для изоляции и помошн при разрешении этой проблемы используется технология «контроль по запросу*. Как в составе Exchange Server 2003, так и в составе Microsoft Windows Server 2003 имеются средства наблюдения за производительностью системы и устранения проблем, обнаруженных в ходе контроля. Контроль — это важнейшая часть работы администратора, которая будет проверена в ходе экзамена.
Прежде всего
Для выполнения упражнений, рассматриваемых в этой главе, потребуются:
Два сервера Microsoft Windows Server 2003, Enterprise Edition. ServerO 1 должен быть контроллером ломен% установленным в каталоге Active Directory служебного домена tails pintoysxom. a Server02 — контроллером домена в Active Directory домена contoso.
com. ServerOl должен иметь несколько сетевых адаптеров. Локальное соединение (Local Area Connection) на ServerOl должно быть в той же сети, что и локальное соединение на Server02. Второе локальное соединение на ServerOl имитирует внешнюю сеть. Его никуда не надо подключать, но при желании его мо*но использовать для доступа в Интернет.
Примечание Если ваши Active Directory домены имеют имена, отличные от tailspintoys, сот н contoso.com, то изменять их не надо. В тех местах, где в дальнейшем в главе будут упоминаться имена tailspintoys.com и conloso.com используйте имеющиеся у вас имена.
■ Exchange Server 2003, Enterprise Edition должны быть установлены на обоих серверах* Server02 должен быть настроен как сервер восстановления для ServerOl. ServerOl был настроен как сервер восстановления в главе 12 «Архивация и восстановление*.
Занятие 1. Выполнение ежедневного мониторинга и обслуживания Exchange Server 2003
Изучив материал этого занятия, вы сможете:
，перечислить ежедневные задачи контроля;
/ объяснить руководящие принципы проверки протоколов;
/ объяснить руководящие принципы контроля служб и ресурсов кластера;
/ объяснить и «расшифровать* статистику хранилищ;
/ просматриаать записи Event Viewer (Журнала) на предмет потенциальных проблем;
' проверять Monitoring And Status в Exchange System Manager;
/ наблюдать за очередями с помощью Queue Viewer.
Продолжительность занятия - около 90 минут.
Задачи ежедневного контроля
Для того чтобы гарантировать правильную работу критических служб Exchange Server 2003, наблюдать за ними необходимо ежедневно. Ежедневный контроль должен определять проблемы то того, как они коснутся пользователей. Контроль также помогает определить тенденции, которые указывают потенциальные проблемы, и позволяют спланировать будущее развитие. Операционная система Windows Server 2003 и пакет Exchange Server 2003 предоставляют такие утилиты, как Event 修ewer (Просмотр событий),
System Monitor (Системный монитор) и Exchange System Manager (Диспетчер системы Exchange), которые наблюдают и анализируют серверные компоненты и производительность сервера Exchange Server 2003.
Задачи обслуживания, которые должны выполняться ежедневно:
Изучение Event Viewer (Просмотр событий) на предмет событий-ошибок и событий- предупревдений.
Проверка состояния подключения и состояние сервера Exchange Server 2003.
Использование Queue Viewer (Просмотр очереди) для просмотра нагрузки (количество сообщений) на серверы Exchange Server 2003.
Изучение журналов, сгенерированных средством Просмотр событий (Event Viewer), консолью Performance (Производительность), виртуальными серверами н используемыми вами программами-антивирусами.
Проверка доступного дискового пространства на томах, где хранятся база данных и файлы протоколов транзакций Exchange Server 2003.
Наблюдение за службами, необходимыми для работы Exchange Server 2003 и Windows Server 2003.
Наблюдение за производительностью самого Windows Server 2003 сервера и сервера и Exchange Server 2003 с помощью консоли Performance (Windows Производительность).
Наблюдение отказов, не влияющих на работоспособность, с помощью Cluster Administrator (Администратора кластеров).
Использование Active Directory Sites And Services (Active Directory — сайты и службы) для проверки репликации.
Использование Exchange System Manager (Диспетчер системы Exchange) для оценки статистики хранилищ Exchange Server 2003.
Проверка протоколов
Большая часть ежедневного мониторинга основывается на протоколах, генерируемых различными средствами протоколирования, такими как Event Viewer (Просмотр событий). Перед рассмотрением специальных инструментов, рассмотрим некоторые из основных принципов проверки журналов.
Если известно типичное содержание журнала для данной среды, то вы легко можете определить потенциальные ошибки или отклонения, на которые необходимо реагировать незамедлительно. Помимо ежедневной проверки журнала событий, журнала производительности, журналов антивирусных программ, необходимо также выполнять архивацию журналов, что позволит располагать данными в хронологическом порядке и определять тенденции, требующие перспективных действий.
Журналы службы Event Viewer (Просмотр событий) предоставляют сведения об отказах служб, ошибках репликации Active Directory и предупреждения, относящиеся к тем случаям, когда снижаются объемы системных ресурсов, таких как виртуальная память или доступное дисковое пространство. Журналы событий Windows необходимо просматривать ежедневно» поскольку как Exchange Server 2003, так и Windows Server 2003 помещают в него предупреждения и сообщения о сбойных ситуациях. Напрммер,
если на диске остается 10 и менее процентов доступного свободного пространства, Windows Server 2003 сообщает об этом: «Event ID 2013: The disk is at or near capacity. Vbu may be required to delete some files».
Для наблюдения за производительностью и емкостью серверов Exchange Server 2003 можно использовать утилиты управления системой, такие как консоль Performance (Производительность). Эти утилиты можно настроить на генерацию сигналов тревоги в тех случаях, когда производительность и значения емкости выходят за границы показателей нормальной работы. Можно, например, настроить генерацию сигнала тревоги при чрезмерно частых обрашениях к файлу подкачки или повышенном использовании процессора. Кроме того, можно собирать данные о производительности для выяснения базовой линии и использовать ее для сравнения с результатами ежедневного контроля в целях определения тенденций.
Внимание! Для генерации сообщений в случаях, когда использование физического диска или логического дискового тома достигнет заранее определенных порогов относительно общей емкости, можно использовать средство Журналы 〃 оповещения производительности (Performance Logs And Alerts). Однако корпорация Microsoft рекомендует не включать датчики использования дисков (disk counters) без основательных причин на это. Датчики дисков используют значительные объемы ресурсов и могут привести к снижению производительности. По умолчанию они отключены и могут быть включены с помощью утилиты Diskperf.exe. Об этом необходимо сказать, поскольку некоторые опытные администраторы включают эти счетчики, веря, что возможность непрерывного и автоматизированного наблюдения за использованием дисков превалирует над потерей производительности.
Журнал антивирусной программы сообщит вам, когда в последний раз выполнялось сканирование, что сканировалось и результаты сканирования. Изучение этой информации помогает убедиться, что антивирусная программа работает правильно. Если в файле журнала указывается на наличие вируса, который не может быть удален, обратитесь на веб-сайт производителя антивирусной программы за возможными решениями. В этом случае вам необходимо просмотреть периодичность загрузки файлов с сигнатурами вирусов (антивирусные базы данных) и обновления безопасности.
Виртуальные серверы SMTP- (Simple Mail Transport Protocol, SMTP), NNTP- (Network News Transfer Protocol, NNTP) и HTTP-протоколов (Hypertext Transfer Protocol, HTTP) генерируют журналы, отслеживающие команды, которые виртуальные серверы получают от компьютеров клиентов. Имеется возможность, например, просмотреть 1Р-адрес компьютера клиента и имя домена, дату и время сообщения, а также количество данных (байт), отправленных в каждом сообщении. Эти файлы журналов необходимо использовать для выявления необычной деятельности, например, сообщений с вложениями, вызывающими подозрения. При обнаружении необычной деятельности для предотвращения доставки нежелательной почты на ваш сервер необходимо просмотреть настройки безопасности.
Контроль служб и ресурсов
Снижение производительности сервера Exchange Server 2003 может вызываться отказами служб, недостаточностью системных ресурсов, проблемами сети и проблемами
производительности компьютера. При использовании кластерной архитектуры на производительность могут оказывать влияние проблемы кластера. Необходимо ежедневно наблюдать за работой серверов, сетевых служб для того, чтобы гарантировать работу Exchange Server 2003 с ожидаемой про изводител ьностью. При кластеризации, помимо этого, необходимо регулярно использовать средство Cluster Administrator (Администратор кластеров). Поскольку кластеры обеспечивают поддержку работоспособности при отказах, иногда не сразу можно определить, что узел кластера вышел из строя.
Производительность сети
Если сеть работает медленно, то вся организация Exchange работает медленно» Производительности сети можно проверить с помощью Network Monitor (Сетевого монитора), который позволяет захватывать (собирать пакеты), представлять и анализировать сетевой трафик. Network Monitor (Сетевой монитор) можно использовать также для нахождения проблем клиент-серверных соединений, для поиска компьютера, генерирующего несоразмерное количество рабочих запросов и выявления пользователей сети, не подтвердивших свои полномочия.
Примечание Версия Сетевого монитора (Network Monitor), входящего в состав Windows Server 2003, захватывает только сетевой трафик, исходящий и входящий на машину, на которой она установлена. Если необходимо захватывать кадры, пересылаемые между удаленными компьютерами, необходимо использовать компонент Сетевой монитор (Network Monitor), поставляемый вместе с Microsoft Systems Management Server (SMS).
Производительность сервера
Если Windows 2003 работает не должным образом, то сервер Exchange Server 2003 также испытывает недостаток производительности. Сведения о программах и процессах, выполняемых на компьютере, можно получить с помощью Task Manager (Диспетчера задач). Task Manager (Диспетчера задач) можно использовать, например, для определения процесса, потребляющего слишком много процессорного времени или ресурсов памяти, а также для просмотра использования памяти и файла подкачки. Эта информация поможет определить, есть ли необходимость переместить на другой сервер или обновить приложения, выполняемые на сервере Exchange Server 2003, а также надо ли перенастроить системные ресурсы или выполнить обновление системы.
Консоль Performance (Производительность) содержит две утилиты: System Monitor (Системный монитор) и Performance Logs And Alerts (Журналы и оповещения производительности). Обе утилиты наблюдают за датчиками производительности. Для определения наличия «узких мест* производительности, определения тенденций н планирования обновления можно наблюдать за счетчиками аппаратного обеспечения и счетчиками Exchange.
Службы Windows
Неверная настройка служб Windows также снижает производительность сервера Exchange Server 2003. Первую информацию о наличии этой проблемы вы обычно получаете из средства Even! Viewer (Просмотр событий). При получении такого указания необходимо проверить или изменить конфигурацию соответствующей службы.
Вы должны ежедневно наблюдать за производительностью AD, поскольку конфи^ гураиия Active Directory оказывает непосредственное влияние на производительность Exchange-организации. Наблюдение за индикаторами AD позволяет вам определить тенденции до того, как возникнут действительные проблемы. Например, длительный отклик в ходе проверки полномочий компьютера клиента, либо замедленное появление недавно сконфигурированных объектов Exchange Server 2003 указывает на проблемы в службе каталогов AD, Для просмотра конфигурации AD можно использовать консоль Active Directory Sites And Services (Active Directory — сайты н службы).
Кроме того, необходимо регулярно наблюдать за работой Domain Name System (DNS). Exchange Server 2003 зависит от DNS-разрешения нмен* Если в Event Viewer (Просмотре событий) имеются ошибки DNS либо вы испытываете проблемы с подключением серверов Exchange Server 2003, то необходимо просмотреть DNS-настройки, С помощью консоли DNS необходимо убедиться, что существуют адресные записи для контроллеров домена и серверов глобального каталога, а также в том, что существуют записи узла и почтового обменника (Host [А] и Mail Exchanger [MXJ) для серверов Exchange Server 2003.
Служба Internet Information Services (IIS) обеспечивает доступ к Exchange Server 2003 серверам no протоколу HTTR Необходимо ежедневно наблюдать за IIS. Если обнаружатся проблемы производительности, необходимо изучить конфигурацию \^Ь-сайта, задаваемую по умолчанию.
Ресурсы кластера
Для ежедневного наблюдения за кластерами серверов Exchange Server 2003 (обеспечивающими работоспособность при отказах) необходимо использовать Cluster Administrator (Администратор кластеров). Такое наблюдение особенно важно в кластере active/active в ходе обеспечения работоспособности при отказе для того, чтобы убедиться в том, что ресурсов, доступных для пользователей, достаточно для предоставления им такого же уровня производительности, что и до отказа.
При развертывании кластеров серверов Exchange Server 2003 необходимо ежедневно наблюдать за счепиками виртуальной памяти для того, чтобы определить необходимость перезагрузки виртуального сервера из-за дефрагментирова ни ости памяти. Если служба Microsoft Exchange Information Store (IS) фиксирует запись Event ID 9582, то это может указывать на чрезмерную фрагментарованность памяти.
Статистика хранилища Exchange
Серверам Exchange Server 2003 для хранения и манипулирования базой данных пользователей, журналов транзакций и запуска обслуживающих утилит требуется свободное дискозое пространство. Если ежедневно наблюдать за статистикой хранилища Exchange, то можно определить, когда свободное дисковое пространство работает медленнее, и предпринять соответствующее действие. Возможно, придется добавить дополнительные ресурсы, но иногда для решения проблемы достаточно выполнить полную архивацию с усечением файлов протокола транзакций. Событие Event ID 1113 в журнале приложений свидетельствует о том, что серверу Exchange Server 2003 не хватает дискового пространства.
Ежедневную проверку дискового пространства можно выполнять с помощью Проводника. Можно сравнивать доступное дисковое пространство на каждом дисковом томе сервера Exchange Server 2003 с ожидаемой скоростью роста, прогнозировавшейся для файлов журналов транзакций и файлов базы данных, что позволяет определить, когда потребуются дополнительные дисковые ресурсы. Для проверки использования дисков можно воючить счетчики дисков, либо использовать System Monitor (Системный монитор).
Необходимо также убедиться, что существует достаточно дискового пространства для запуска обслуживающих утилит, изучив статистику для каждой БД Exchange, и сравнить эти значения с доступным свободным пространством. В качестве общего правила: доступное свободное пространство на отдельном дисковом устройстве должно быть более или равно 110% размера самой большой базы данных.
С помощью System Manager (Диспетчера системы Exchange) можно получить дополнительную информацию о хранилищах Exchange. Раскрытие хранилища почтового ящика и хранилища общедоступной папки позволит просмотреть зарегистрировавшихся в системе пользователей. Эта функция полезна, если вам требуется выполнить обслуживание и необходимо попросить пользователей закрыть свои почтовые ящики.
,!□» х1,!□» х1МхМхExchange System Manager (Диспетчер системы Exchange) также можно использовать для просмотра размеров индивидуальных почтовых ящиков и выявления пользователей» потребляющих больше всего ресурсов. Просмотрев состояние индекса, количество индексированных документов, размер индекса, время последнего построения индекса, имени и расположения индекса можно получить всю статистику индексирования. И, наконец, можно определить размер индивидуальных папок общего доступа, время последнего обращения к папке и время получения последней реплики. На рис. 13-1 представлена статистика обращения и регистрации для хранилища общих папок.
,!□» х1
,!□» х1
Мх
Мх
=E>«ch4»H№ System Mgd>qer
令 E*e йфоп v»w J^ndow 睁
0十丨右面11 El正I图
О 口 Recipients 白-门I Adrnrietrative Groups 白 @ First Administrative GroupО 口 Recipients 白-门I Adrnrietrative Groups 白 @ First Administrative Groupg £3 Servers!白 冃 SERVER01;T富 QueuesEl 丛 Fr$t Storage GroupВ 1^ Mailbox Store (SERVER01)；В 咳 Public Folder Store (SERVERD!；.I 丿口 Logons；• 口 Pubk Fdde* Instances Q PUAcFokJer$,口 Replication Status'口 Full-Text IndexingЁ-Л My Storage Groupg £3 Servers!白 冃 SERVER01;T富 QueuesEl 丛 Fr$t Storage GroupВ 1^ Mailbox Store (SERVER01)；В 咳 Public Folder Store (SERVERD!；.I 丿口 Logons；• 口 Pubk Fdde* Instances Q PUAcFokJer$,口 Replication Status'口 Full-Text IndexingЁ-Л My Storage Groupffi-Сз Protocols 困”亡j System Pokes 斑 口 touting GrtM» G ^4W L.Hlffi-Сз Protocols 困”亡j System Pokes 斑 口 touting GrtM» G ^4W L.Hl9/16/2003 9121 ...9/16/2003 9:21 AM9/16/2003 9:21 .,.9/16/2003 9:21 AM9/16/2003 9:21 …9/16/2003 9:21 AM9/16/2003 9:21 ...9/16/2003 9:21 AM9/16/2003 9:21 ...9/17/2003 2:22 AM9/16/2003 9:21 ...9/16/2003 9:21 AM9/16/2003 9:2 2 ...9/16/2003 9:22 AM9/16/2003 9:21 ...9/16/2003 9;2I AM9/16/2003 9:21 ..,9/16/2003 9:21 AM9/16/2003 9:21 „.9/16/2003 92 AM9/16/2003 9:21 ...9/16/2(X13 9:21 AM9/17/2003 3:5«…9/17/20Q3 3:56 PM9/17/200Э 3:58...9/17/2003 3:58 PM9/17/2003 3:58.,.9Д 7/2003 3:58 PM9/17/2003 3:58 …9/17/2003 3:58 PM9/16/2003 9121 ...9/16/2003 9:21 AM9/16/2003 9:21 .,.9/16/2003 9:21 AM9/16/2003 9:21 …9/16/2003 9:21 AM9/16/2003 9:21 ...9/16/2003 9:21 AM9/16/2003 9:21 ...9/17/2003 2:22 AM9/16/2003 9:21 ...9/16/2003 9:21 AM9/16/2003 9:2 2 ...9/16/2003 9:22 AM9/16/2003 9:21 ...9/16/2003 9;2I AM9/16/2003 9:21 ..,9/16/2003 9:21 AM9/16/2003 9:21 „.9/16/2003 92 AM9/16/2003 9:21 ...9/16/2(X13 9:21 AM9/17/2003 3:5«…9/17/20Q3 3:56 PM9/17/200Э 3:58...9/17/2003 3:58 PM9/17/2003 3:58.,.9Д 7/2003 3:58 PM9/17/2003 3:58 …9/17/2003 3:58 PMLast Acreis TimeLast Acreis TimeLogon TimeLogon TimeШШ
О 口 Recipients 白-门I Adrnrietrative Groups 白 @ First Administrative Group
О 口 Recipients 白-门I Adrnrietrative Groups 白 @ First Administrative Group
g £3 Servers
!白 冃 SERVER01
;T富 Queues
El 丛 Fr$t Storage Group
В 1^ Mailbox Store (SERVER01)
；В 咳 Public Folder Store (SERVERD!；.
I 丿口 Logons
；• 口 Pubk Fdde* Instances Q PUAcFokJer$
,口 Replication Status
'口 Full-Text Indexing
Ё-Л My Storage Group
g £3 Servers
!白 冃 SERVER01
;T富 Queues
El 丛 Fr$t Storage Group
В 1^ Mailbox Store (SERVER01)
；В 咳 Public Folder Store (SERVERD!；.
I 丿口 Logons
；• 口 Pubk Fdde* Instances Q PUAcFokJer$
,口 Replication Status
'口 Full-Text Indexing
Ё-Л My Storage Group
ffi-Сз Protocols 困”亡j System Pokes 斑 口 touting GrtM» G ^4W L.Hl
ffi-Сз Protocols 困”亡j System Pokes 斑 口 touting GrtM» G ^4W L.Hl
9/16/2003 9121 ...
9/16/2003 9:21 AM
9/16/2003 9:21 .,.
9/16/2003 9:21 AM
9/16/2003 9:21 …
9/16/2003 9:21 AM
9/16/2003 9:21 ...
9/16/2003 9:21 AM
9/16/2003 9:21 ...
9/17/2003 2:22 AM
9/16/2003 9:21 ...
9/16/2003 9:21 AM
9/16/2003 9:2 2 ...
9/16/2003 9:22 AM
9/16/2003 9:21 ...
9/16/2003 9;2I AM
9/16/2003 9:21 ..,
9/16/2003 9:21 AM
9/16/2003 9:21 „.
9/16/2003 92 AM
9/16/2003 9:21 ...
9/16/2(X13 9:21 AM
9/17/2003 3:5«…
9/17/20Q3 3:56 PM
9/17/200Э 3:58...
9/17/2003 3:58 PM
9/17/2003 3:58.,.
9Д 7/2003 3:58 PM
9/17/2003 3:58 …
9/17/2003 3:58 PM
9/16/2003 9121 ...
9/16/2003 9:21 AM
9/16/2003 9:21 .,.
9/16/2003 9:21 AM
9/16/2003 9:21 …
9/16/2003 9:21 AM
9/16/2003 9:21 ...
9/16/2003 9:21 AM
9/16/2003 9:21 ...
9/17/2003 2:22 AM
9/16/2003 9:21 ...
9/16/2003 9:21 AM
9/16/2003 9:2 2 ...
9/16/2003 9:22 AM
9/16/2003 9:21 ...
9/16/2003 9;2I AM
9/16/2003 9:21 ..,
9/16/2003 9:21 AM
9/16/2003 9:21 „.
9/16/2003 92 AM
9/16/2003 9:21 ...
9/16/2(X13 9:21 AM
9/17/2003 3:5«…
9/17/20Q3 3:56 PM
9/17/200Э 3:58...
9/17/2003 3:58 PM
9/17/2003 3:58.,.
9Д 7/2003 3:58 PM
9/17/2003 3:58 …
9/17/2003 3:58 PM
Last Acreis Time
Last Acreis Time
Logon Time
Logon Time
Ш
Ш
Рис. 13-1. Статистика регистрации и доступа к общей папке
Удаление общей папки
Если вы предполагаете для освобождения дисковых ресурсов удалить общедоступную папку, сразу найдется тот, кто будет возражать. Знание времени последнего обращения к этой папке может стать весомым доводом.
Просмотр событий
Event Viewer (Просмотр событий) — это утилита Windows, которую можно использовать для наблюдения за активностью аппаратного и программного обеспечения. Exchange Server 2003 использует журнал приложений Event Viewer (Просмотра событий) для записи ошибок, предупреждений и информационных событий. Можно просмотреть эти данные в протоколе приложений для выявления проявившихся проблем и опережения проблем до того, как они произойдут* Например, выявление в ходе оперативного обслуживания или выполнения архивации в оперативном режиме повреждения базы данных приведет к записи ошибок в Event Viewer (Просмотр событий). Наблюдая за событиями в Event Viewer (Просмотре событий) вы можете узнать о повреждении базы данных и устранить его до того, как признаки ошибки отразятся на пользователях.
Необходимо отличать записи Просмотра событии (Event Viewer), отмечающие нормальное поведение сервера Exchange Server 2003, н события, свидетельствующие о проблемах. При ежедневном изучении можно установить так называемую «базовую линию» типичных событий, что сэкономит время4 затрачиваемое на выявление событий, требующих внимание.
Нормальные события
В табл. 13-1 перечислены некоторые из событий, которые можно наблюдать в ходе нормального функционирования. Такие события протоколируются как информационные события. На рис. 13-2 представлен отчет событий в Просмотре событии (Event Viewer).
Табл. 13-1.
Нормальные события Exchange Server 2003
Номер события
Значение
700 и 701
1206 и 1207
1221
Начало или завершение дефрагментации в оперативном режиме
Запуск или завершение очистки от писем с истекшим сроком сохранения
Для БД «....» доступно х Мбайте в свободного пространства после завершения дефрагментации
9531 м 95 3 5
Начало или завершение очистки удаленных почтовых ящиков, для которых время сохранения истекло
Рис. 13-2. Журнал событий
Аварийные события
В табл. 13-2 перечислены некоторые события, которые свидетельствуют о том, что Exchange Server 2003 имеет проблемы. Подобные события отмечаются как предупреждения или ошибки.
Табл. 13-2. Ошибки и предупреждения Exchange Server 2003
Номер события
Значение
2064 и 2069
Проблемы доступа к службам каталога, вызванные неверной конфигурацией DNS
9582
Виртуальной памяти мало, либо она фрагментирована
1018, 1018
События-ошибки Joint Engine Technology (JET), указывающие на повреж-
и 1022
дения БД Exchange на уровне файлов
В Event Viewer (Просмотре событий) имеется возможность выбрать источник, чтобы наблюдать за событиями, связанными с определенной функцией. Регулярно необходимо наблюдать за:
MSExchaiigeTransport Выберите этот источник для изучения событий, появляющихся при использовании SMTP для маршрутизации сообщений. Событие 4000 указывает, что соединение прервано по причине, не связанной с ошибкой протокола. К разрыву соединения также приводят следующие причины: проблемы DNS, сервер не в оперативном режиме, соединение сброшено, сервер перегружен или выведен из строя внутренними ошибками.
MSExchangeAL Выберите этот источник для изучения событий, относящихся к службе, которая направляет (адресует) электронную почту по спискам адресов. Событие 8026 указывает на проблемы, связанные с возможностью подключения к сети или с настройкой LDAP-прото кола (Lightweight Directory Access Protocol, LDAP).
MSExchangelS Выберите этот источник для изучения событий, относящихся к службе, разрешающей доступ к хранилищу почтового ящика и общедоступного каталога. Событие 9518 указывает на сбой в ходе запуска группы хранения Exchange, например, если все базы данных в группе хранения находятся в автономном режиме либо произошли ошибки Extensible Service Engine (ESE) при запуске БД внутри группы хранения.
MSExchangeSA Выберите этот источник для изучения событий, возникающих при использовании AD для хранения и совместного использования сведений о каталогах.
Ели вы обнаружили потенциальные проблемы в работе сервера Exchange Server 2003 в ходе ежедневного контроля, то можно изменить объем информации, отражаемой в журнале приложений, повысив уровень протоколирования. Чем выше уровень протоколирования, тем больше событий отражается в журнале приложений. Это помогает диагностировать проблему.
Можно открыть журнал приложений в Event Viewer (Просмотре событий), перейти к выбору Event Source (Источника события) и выбрать относящийся к Exchange источник. Настроить диагностическое протоколирование, установив уровень протоколирования Event Viewer (Просмотр событий). Лучше это сделать в Exchange System Manager (Диспетчере системы Exchange), а не в самом Event Viewer (Просмотре событий). На вкладке Diagnostics Logging (Диагностическое протоколирование) диалогового окна Server Properties (Свойства: Сервер) можно указать уровень протоколирования для каждой службы и категории, в отношении которой вы хотите установить диагностическое протоколирование. Учтите, что повышение уровня протоколирования для служб Exchange может вызвать некоторое снижение производительности.
Совет При повышении уровней протоколирования в Exchange-сервере, необходимо также увеличить размер журнала приложений для размещения всех генерируемых сведений. В противном случае, вы будете получать частые напоминания q переполнении журнала приложений.
Утилита Monitoring And Status
Утилита Monitoring And Status (Кон1роль состояния), входящая н состав Exchange System Manager (Диспетчер системы Exchange), по умолчанию выполняет наблюдение за ключевыми службами Exchange Server 2003. Кроме того, утилиту можно настроить на по-
стоянное наблюдение за уровнем производительности других служб (сетевых и служб приложений). Для наблюдения за состоянием серверов и подключений, а также за правильностью их функционирования необходимо использовать утилиту Monitoring And Status (Контроль состояния).
Столбец Status (Состояние) в Monitoring And Status (Контроль состояния) можно использовать для определения, имеются ли отказы служб, иссякли ли системные ресурсы либо передаются ли сообщения, В табл. 13-3 представлены значения уровней состояния сервера.
Табл. 13-3. Уровни состояния сервера
Состояние сервера О чем свидетельствует
Unreachable
(недоступен)
Отключена одна из основных служб либо сервер находится в другой группе маршрутизации, а соединение между группами маршрутизации отключено или не существует
Unknown (неизвестно)
System Attendant не может связаться с локальным сервером
Critical or Wirning
Наблюдаемый ресурс достиг критического состояния или порога
(Критическое или Предупреждение)
генерации предупреждения, определенного для этого ресурса
Unavailable
Служба подключенияf такая как служба маршрутизацииt не работает
(недоступен)
на этом подключении (сетевом адаптере)
Утилита Queue Viewer
Для обслуживания и администрирования очередей сообщений в Exchange-организации используется утилита Queue Viewer (Просмотр очереди). В Queue Viewer (Просмотр очереди) могут быть представлены следующие очереди локального или удаленного компьютера;
очередь виртуального SMTP-сервера;
очередь объектов МТА (Microsoft message transfer agent, MTA);
очередь в подключении (сетевом адаптере);
ожидающие отправки сообщения DNS;
очередь повторных сбойных сообщений;
сообщения, поставленные в очередь для отложенной доставки.
Утилита Queue Viewer (Просмотр очереди) имеет функции Disable Outbound Mail, Settings и Find Messages (рис. 13-3), Также имеется панель (на рисунке — пустая) для
вывода дополнительных сведений об очереди. Очереди можно наблюдать ежедневно, а утилита также используется для обнаружения проблем, требующих обслуживания по требованию.
Рис. 13-3. Утилита Queue Viewer
Отключение исходящей почты
Функцию Disable Outbound Mail (Отключение исходящей почты) можно использовать для отключения исходящей почты во всех SMTP-очередях. Она может понадобиться, например в случае вирусной инфекции организации. Эта функция не отключает МТА- н System-очереди.
Если ны хотите предотвратить передачу исходящей почты из определенной удаленной очереди, то вместо отключения всех 5МТР*очерсдей можно «заморозить* сообщения в этой очереди. Для этого щелкните правой кнопкой эту очередь, а затем щелкните Freeze (Заморозить)* Для «разморозки* сообщений щелкните правой кнопкой очередь и щелкните Unfreeze (Разморозить).
Параметры
Функция Settings (Параметры) используется для определения частоты обновления очередей. По умолчанию обновление производится один раз в две минуты. Значения скорости обновления: 1 раз в минуту, 1 раз в пять минут, 1 раз в 10 минут и Never Refresh (Никогда). Если вы пытаетесь устранить проблему доставки, значение интервала желательно установить поменьше, например 1 раз в минуту.
Поиск сообщений
Функция Find Messages (Поиск сообщений) используется для вывода сообщений в очереди или для поиска сообщений, удовлетворяющих критерию поиска, например по отправителю или получателю и состоянию сообщения. Например, можно найти все «замороженные» сообщения. Также можно указать число возвращаемых после поиска сообщений. Эту функцию можно использовать для поиска определенного сообщения либо для вывода списка сообщений н очереди для зыяснения, когда было отправлено самое давнее сообщение.
Дополнительные сведения об очереди
Функция Additional Queue Information (Дополнительные сведения об очереди) может использоваться для просмотра сведений, необходимых для устранения неполадок в определенной очереди. Здесь также выводятся сведения об ошибках, возвращенных от Exchange-расширений в службу SMTP, а также индикация о недоступности очереди, например, если служба нс запущена.
Использование Queue Viewer для поиска потенциальных проблем
Exchange Server 2003 использует очереди для содержания сообщений, пока они обрабатываются перед маршрутизацией и отправкой. Если сообщения остаются в очереди на длительный срок, то, вероятно, имеется проблема, например Exchange-сервер не может подключиться к сети. Соответственно, ежедневный контроль Exchange-очередей —— это ваша обязанность, как полного администратора Exchange.
Сначала необходимо составить список сообщений в очереди, выбрав очередь и использовав функцию Find Messages (Поиск сообщений). Для определения наличия проблем в этой очереди необходимо использовать Queue Viewer (Просмотр очереди). В результатах поиска можно просмотреть столбец State (Состояние) и увидеть, в каком состоянии находится очередь. В табл. 13-4 перечислены состояния сообщений-
Табл. 13-4. Состояния сообщений в Queue Viewer
Состояние сообшеиий
Описание
Active (?\ктив- но)
Указывает, что очередь имеет активное соединение. Никаких действий предпринимать не требуется
Ready (Готово)
Указывает, что очередь готова к установлению необходимого соединения. Никаких действий предпринимать не требуется
Retry (Повтор)
Указывает, что попытка соединения завершилась неудачей и сервер ожидает повтора* Через небольшой период вам необходимо снопа просмотреть состояние (столбец State), чтобы Цедиться в изменении состояния. Если сообщение по-прежнему осталось в состоянии Retry, то необходимо определить проблему, п ре и я тствую щую очереди доставить сообщения
Scheduled (Запланировано)
Указывает, что очередь ожидает запланированной попытки соединения Никаких действий предпринимать не требуется
Remote (Удаленное)
Указывает, что очередь ожидает удаленной команды вывода из очереди (dequeue}. Никаких действий предпринимать не требуется
Frozen (Заморожено)
Указывает, что ни одно сообщение не может покинуть очередь. Если распределитель категорий маршрутизации по-прежнему работает, то сообщения могут добавляться в очередь. Если очередь ^заморожена!* по определенной причине, например в ходе вирусной атаки, то после разрешения проблем с вирусом необходимо «разморозить* очередь
После этого необходимо просмотреть столбцы Number of Messages (Количество сообщений) и Total Message Size (Кб) (Суммарный размер сообщений, Кб) на предмет скоп-
ления большого числа сообщений в очереди или наличия сообщения с размером, слишком большим для вашей Exchange-организации. Если в очереди скопилось слишком большое количество сообщений, то вы можете принудительно установить соединение» щелкнув правой кнопкой очередь н выбрав пункт Force Connection (Принудительное соединение). Если имеется слишком большое сообщение, мешающее доставке остальных сообщений, то необходимо принять решение об удалении этого сообщения.
Функция Find Messages (Поиск сообщений) также может использоваться для нахож* дения определенного сообщения в очереди. Обычно вести поиск сообщения приходится в том случае, если пользователь сообщит, что он отправил важное сообщение, а оно до сих пор нс получено. В этом случае с помощью панели Search Results (Результаты поиска) можно просмотреть сведения о сообщениях, размещенных в очереди, например, нс находится ли сообщение в состоянии Retry (Повтор), какой размер имеет сообщение, время, когда отправлено сообщение и когда истечет время сообщения. Эта информация поможет вам определить потенциальные и текущие проблемы.
Лабораторная работа. Настройка диагностических уровней и утилита Monitoring And Status
Изменением уровня протоколирования в журнал приложений или с помощью утилиты Event Viewer (Просмотр событий) можно управлять тем, какие события заносятся в протокол.
Упражнение 1. Настройка диагностического протоколирования
В этом упражнении проверяется журнал Просмотра событий (Event Viewer) на наличие ,любых ошибок Exchange. После этого устанавливается диагностический уровень протоколирования и внимательно изучается более подробная информация, появляющаяся после такого изменения настройки. Для просмотра журнала приложений и настройки диагностического протоколирования выполните следующие действия:
L На ServerOJ в меню выберите Start\Administrative Tools\Eveni Viewer (Пуск\Админис- трирование\Просмотр событий).
В дереве консоли Event Viewer (Просмотр событий) щелкните Application (Приложение).
В правой панели найдите события Exchange, уделяя особое внимание событиям с красным значком и отмеченным желтым цветом событиям-предупреждениям.
Сверните окно консоли Event Viewer (Просмотр событий).
Запустите Exchange System Manager (Диспетчер системы Exchange).
Перейдите в Administrative Groups\First Administrative Group\Servers (Административные группы\Первая административная группа\Серверы). Щелкните правой кнопкой ServerO 1, а затем щелкните Properties (Свойства).
Перейдите на вкладку Diagnostics lagging (Диагностическое протоколирование).
На вкладке Diagnostics Logging (Диагностическое протоколирование) в разделе Services (Службы) разверните MSExchan^elS, а затем щелкните Mailbox (Почтовый ящик),
Под Category (Категория) щелкните General (Общая).
В поле Logging Level (Уровень протоколирования) выберите Maximum (Максимальный) (рис. 13-4), а затем щелкните ОК.
Рис. 13-4* Настройка уровня диагностического протоколирования
Восстановите окно Event Viewer (Просмотр событий) (или откройте, если ранее вы его закрыли),
В меню View (Вид) щелкните Filter (Фильтр). Это позволит фильтроаать журнал и составить список записей только определенного типа Exchange-событий.
В диалоговом окне Application Properties (Свойства: Приложение) в раскрывающемся списке Event Source (Источник события) щелкните MSExchangels Mailbox Store (рис. 13-5).
MSE ксЬ】й*Нв#а МКнсНйчеОМА M&EwhangeSA М5ЕисНаг^«5Ымз М5ЕисК«^в5Н$ М5ЕисЬ«^Т<аиро<1
Рис. 13-5. Выбор источника событий
В диалоговом окне Application Properties (Свойства: Приложение) в раскрывающемся списке Category (Категория) щелкните General (Общая), а затем щелкните ОК. Должен появиться список событий, ан^югичиый представленному на рис. 13-6,
Application Fitered view showing 203 of 2,373 evant(s)Application Fitered view showing 203 of 2,373 evant(s)Type'Information 'Infcrmatwri Information InformabonType'Information 'Infcrmatwri Information Informabon風 Event Vtewer (LocM)•同 AppkatKm• 4 Security'■■■ 4 Systemг • 4 Dvectofу Service:W DNS Server工 Fil® Replication Service風 Event Vtewer (LocM)•同 AppkatKm• 4 Security'■■■ 4 Systemг • 4 Dvectofу Service:W DNS Server工 Fil® Replication Service•information 审 Inforrnatlon Q/lrfor mation C^Informetion '■^Information (P Information C^) Information ① Information 'i i ,Tr*Fcrm»Hcc•information 审 Inforrnatlon Q/lrfor mation C^Informetion '■^Information (P Information C^) Information ① Information 'i i ,Tr*Fcrm»HccJ DMo 9/18/2003 9/18/2003 9/18/2003 9/10/2003 9/19/2003 9/18/2003 9/18/2003 9/18/283 9/18/2003 9/18/2003 9/17/200Э 9/17/2003 q/dVHiJ DMo 9/18/2003 9/18/2003 9/18/2003 9/10/2003 9/19/2003 9/18/2003 9/18/2003 9/18/283 9/18/2003 9/18/2003 9/17/200Э 9/17/2003 q/dVHiI lime 1:15:10AM 1:15:09 AM 1:15:02 AM UISjOZAM 1!1SjQZAM 1:15:01 AM 1:15:01 AM l:15;01 AM l：15：01AM 1:15:01 AM l：00;2l AM l;M:17 AMI lime 1:15:10AM 1:15:09 AM 1:15:02 AM UISjOZAM 1!1SjQZAM 1:15:01 AM 1:15:01 AM l:15;01 AM l：15：01AM 1:15:01 AM l：00;2l AM l;M:17 AMj Source*1MSExchangeisM^fcoxT—J MSExchanaels НаЛюх.. MSExchdngels Maftiox.. MSExchangels Maftox.. MSExchangels МаАюх.. MSExchangels Майюх.. MSExchangels Mailbox., MSExchangels Mrfbox.. MSExchanqeE МаЙЬох,. MSExthangel* gbox“ M5Exchangel$ Ma&hc- MSExchangels МаАкпс 一 . МФзк,с”Тг MaJbwv 产 Ij Source*1MSExchangeisM^fcoxT—J MSExchanaels НаЛюх.. MSExchdngels Maftiox.. MSExchangels Maftox.. MSExchangels МаАюх.. MSExchangels Майюх.. MSExchangels Mailbox., MSExchangels Mrfbox.. MSExchanqeE МаЙЬох,. MSExthangel* gbox“ M5Exchangel$ Ma&hc- MSExchangels МаАкпс 一 . МФзк,с”Тг MaJbwv 产 I
Application Fitered view showing 203 of 2,373 evant(s)
Application Fitered view showing 203 of 2,373 evant(s)
Type
'Information 'Infcrmatwri Information Informabon
Type
'Information 'Infcrmatwri Information Informabon
風 Event Vtewer (LocM)
•同 AppkatKm
• 4 Security
'■■■ 4 System
г • 4 Dvectofу Service
:W DNS Server
工 Fil® Replication Service
風 Event Vtewer (LocM)
•同 AppkatKm
• 4 Security
'■■■ 4 System
г • 4 Dvectofу Service
:W DNS Server
工 Fil® Replication Service
•information 审 Inforrnatlon Q/lrfor mation C^Informetion '■^Information (P Information C^) Information ① Information 'i i ,Tr*Fcrm»Hcc
•information 审 Inforrnatlon Q/lrfor mation C^Informetion '■^Information (P Information C^) Information ① Information 'i i ,Tr*Fcrm»Hcc
J DMo 9/18/2003 9/18/2003 9/18/2003 9/10/2003 9/19/2003 9/18/2003 9/18/2003 9/18/283 9/18/2003 9/18/2003 9/17/200Э 9/17/2003 q/dVHi
J DMo 9/18/2003 9/18/2003 9/18/2003 9/10/2003 9/19/2003 9/18/2003 9/18/2003 9/18/283 9/18/2003 9/18/2003 9/17/200Э 9/17/2003 q/dVHi
I lime 1:15:10AM 1:15:09 AM 1:15:02 AM UISjOZAM 1!1SjQZAM 1:15:01 AM 1:15:01 AM l:15;01 AM l：15：01AM 1:15:01 AM l：00;2l AM l;M:17 AM
I lime 1:15:10AM 1:15:09 AM 1:15:02 AM UISjOZAM 1!1SjQZAM 1:15:01 AM 1:15:01 AM l:15;01 AM l：15：01AM 1:15:01 AM l：00;2l AM l;M:17 AM
j Source*1
MSExchangeisM^fcoxT—J MSExchanaels НаЛюх.. MSExchdngels Maftiox.. MSExchangels Maftox.. MSExchangels МаАюх.. MSExchangels Майюх.. MSExchangels Mailbox., MSExchangels Mrfbox.. MSExchanqeE МаЙЬох,. MSExthangel* gbox“ M5Exchangel$ Ma&hc- MSExchangels МаАкпс 一 . МФзк,с”Тг MaJbwv 产 I
j Source*1
MSExchangeisM^fcoxT—J MSExchanaels НаЛюх.. MSExchdngels Maftiox.. MSExchangels Maftox.. MSExchangels МаАюх.. MSExchangels Майюх.. MSExchangels Mailbox., MSExchangels Mrfbox.. MSExchanqeE МаЙЬох,. MSExthangel* gbox“ M5Exchangel$ Ma&hc- MSExchangels МаАкпс 一 . МФзк,с”Тг MaJbwv 产 I
Рис. 13-6. События хранилища почтового ящика MSExchangelS при максимальном уровне диагност№1еского протоколирования
Для просмотра всех событий в меню View (Вид) щелкните All Records (Все записи), а затем закройте Event Viewer (Просмотр событий).
В Exchange System Manager (Диспетчер системы Exchange) щелкните правой кнопкой ServerOlь а затем щелкните Properties (Свойства).
Перейдите на вкладку Diagnostics Logging (Диагностическое протоколирование).
В разделе Services (СлужбьО разверните MSExchangelS, а затем щелкните Mailbox (Почтовый ящик).
Под Categories (Категория) щелкните General (Общая).
В раскрывающемся списке Logging Level (Уровень протоколирования) выберите None (Ннкакнх), а затем щелкните ОК.
Упражнение 2. Определение наблюдаемых событий
В этом упражнение с помощью утилиты Monitoring And Status (Контроль состояния) в Exchange System Manager настраиваются уровни контроля для ключевых служб и ресурсов сервера Exchange Server 2003.
Запустите Exchange System Manager (Диспетчер системы Exchange).
Разверните Tools (Средства), разверните Monitoring And Status (Контроль состояния), а затем щелкните Status (СостоялиеХ
С помощью правой панели проверьте, имеет ли какое-нибудь из подключений состояние Unreachable (Недоступно), Unknown (Неизвестно), Critical (Критическое), Whrning (Внимание) или Unavailable (Непригодно).
Дважды щелкните ServerOL
На вкладке Monitoring (Контроль) шелкните Add (Добавить).
Примечание Обратиться к этому эле менту управления также можно выбрав Administrative Groups/First Administrative Group\Server\ServerO 1 (Административные группы\Псрвая адм и н и страти в ная rpynna\CcpBcp\Server01), щелкнув правой кнопкой ServerOl, щелкнув Properties (Свойства), а затем перейдя на вкладку Monitoring (Контроль).
В поле Add Resource (Добавить ресурс) щелкните Available Virtual Memory (Доступная виртуальная память), а затем щелкните ОК.
Укажите пороги виртуальной памяти (рис. 13-7), а затем шелкните ОК.
Рис, 13・7. Указание порогов виртуальной памяти
8* Щелкните Add (Добавить) на вкладке Monitoring (Контроль).
В поле Add Resource (Добавить ресурс) щелкните CPU Utilization (Загрузка процессора), а затем шелкните ОК.
Укажите пороги использования процессора (рис. 13-8), а затем щелкните ОК.
Рис* 13-8. Указание порогов использования процессора
Повторите эту же процедуру для указания порогов свободного дискового пространен тва. Если имеется более одного дискового тома» то процедуру необходимо повторить для каждого из них.
Укажите пороги роста SMTP-очередей и пороги роста Х.400.
Щелкните Add (Добавить), затем щелкните Windows 2000 Service (Служба Windows 2000), а затем щелкните ОК.
Примечание Эта служба пока что называется «Wndows 2000 Service», а не «Windows 2003 Service».
В диалоговом окне Services (Службы) в раскрывающемся меню щелкните рядом с When Service Is Not Running Change State To (Когда служба не работает, перейти в состояние) выберите Critical (Критическое), а затем щелкните Add (Добавить).
Выберите Microsoft Exchange Information Store (Хранилище Microsoft Exchange), а затем щелкните OK
В поле Name (Название) диалогового окна Services (Службы) введите Information Store (Хранилище), а затем щелкните ОК.
Диалоговое окно ServerOl Properties (Свойства: ServerOl) теперь должно выглядеть, как на рис. 13-9. При достижении указанных порогов в журнал приложений консоли Event Viewer (Просмотр событий) будет записано соответствующее событие.
Рис. 13-9. Настройка наблюдаемых событий
Щелкните ОК для закрытия диалогового окна Properties (Свойства).
Занятие 2. Выполнение планового контроля и обслуживания Exchange Server 2003
Плановый (по графику) контроль позволяет вам накапливать данные, обеспечиваюшие сведения, которые необходимы для анализа тенденций и планирования емкости системы. Измеряя производительность системы в течение длительного периода времени, вы можете определять потребность в новых ресурсах до того, как эта потребность станет критической, 11 использовать накопленные данные для устранения неполадок до того, как отказы повлияют на пользователей.
Изучив материал этого занятия, вы сможете:
перечислить задачи обслуживания, которые необходимо запланировать;
сгенерировать отчет м выяснить тенденции;
просматривать журналы протоколов;
объяснить назначение HTTP Monitor;
управлять ограничениями почтового ящика;
управлять папкой Badmail;
управлять почтовым ящиком postmaster.
Продолжительность занятия — около 90 минут.
Планируемые задачи обслуживания
Для обеспечения бесперебойной работы Exchange-организации и обеспечения уровня обслуживания, удовлетворяющего пользователей, необходимо выполнять регулярные, плановые задачи обслуживания. Необходимо определить эти задачи и частоту, с которой они должны выполняться. Обычно требуется выполнение следующих операций:
Сгенерировать отчеты н выяснить тенденции путем использования System Monitor (Системного монитора), Microsoft Operations Manager (Диспетчера операций Microsoft) и утилит сторонних производителей, предназначенных дл只 фиксации данных производительности. Эти данные позволяют определять потенциальные «узкие» места и, например, рассчитать, когда потребуется обновление сервера.
Использовать журналы протоколов для отслеживания команд, отправленных и принятых виртуальными серверами SMTP, NNTP н HTTP. Изучение этих журналов может помочь вам в устранении неполадок* связанных с обменом сообщениями» а также определения потенциальных проблем.
Использовать НТТРМоп (Монитор HTTP) для наблюдения за серверами Outlook W;b Access (OWA) и убедиться, что компьютеры клиентов не испытывают проблем подключения и проблем с производительностью.
Определить, какие пользоиатели потребляют самое большое количество ресурсов на ваших серверах, поскольку эти сведения помогут настраивать и обслуживать хранилище Exchange,
Наблюдать за папкой Badmail для определения тенденций и предотврашения нарастания подобных сообщений. Сообщения, которые не удалось доставить и невозможно вернуть отправителю, отправляются в лапку Badmail. Со временем эти сообщения могут накапливаться и использовать дисковые ресурсы.
Управление почтовым ящиком postmaster, который используется для NDR (отчеты о невозможности доставки). Вы должны определить, какая учетная запись электронной почты связана с учетной записью posimaster» а также наблюдать н, при необходимости, отвечать на NDR-сообшения.
Генерация отчетов и определение тенденций
Первой задачей при генерации отчетов н определении тенденций является сбор значимой информации для установления базовой линии производительности каждого сервера Exchange Server 2003. Эти сведения помогут вам с упреждением управлять серверами и выполнять анализ тенденций и планирование емкости. Базовую линию необходимо создать сразу после развертывания сервера, а затем повторно определять базовую линию при изменении аппаратного обеспечения или использования сервера.
Для того чтобы создать базовую линию, а затем использовать отклонения от нее для отслеживания тенденций и определения потенциальных проблем, вам придется создать процедуры наблюдения за сервером Exchange Server 2003. Эти процедуры собирают информацию о ресурсах сервера, таких как использование памяти, использование процессора, использование жесткого диска, а также о дисковой и сетевой производительности. Кроме того, имеются индикаторы производительности, характерные для сервера Exchange Server 2003, такие как производительность хранил и ша Exchange, скорости доставки писем и проблемы очереди сообщений. Процедуры мониторинга системы до^тжны указывать частоту выполнения задач наблюдения, дату фиксации базовой линии и соответствующие процедуры для разреиюния любых возникающих проблем.
Измерение показателей системы неявно входит в процесс контроля системы. Параметры показателей система включают стандарты для типов измеренных сведений, частоты отсчетов показаний, методы, используемые для анализа данных, форматы хранения данных и форматы отчетов.
Планирование емкости
Планирование емкости позволяет размещать системные ресурсы таким образомt чтобы по мере возрастания загрузки системы гарантировать поддержку оптимальной производительности системы. Однако, для размещения соответствующих ресурсов и выполнения последующих действий недостаточно выполнять планирование емкости на основе текущих данных. Планирование емкости — это непрерывный процесс, который требует установления базовой линии для каждой службы с последующим контролем системных операций всех уровней.
Консоль Производительность
Консоль Performance (Производительность) используется для сбора н представления сведений об объектах производительности и связанных с ними счетчиков. Консоль содержит два инструмента, или оснастки: Performance Logs And Alerts (Журналы и оповещения производительности) и System Monitor (Системный монитор).
Оснастка Performance Logs And Alerts (Журналы и оповещения произволительности) записывает и протоколирует деятельность системы в течение периода времени. Это средство позволяет собирать с выбранных счетчиков данные через регулярные интервалы времени. Можно накапливать журналы за длительные периоды времени, сохраняя данные в базе данных, создаваемой Microsoft Access или Microsoft SQL. При хранении данных в БД вы можете использовать функцию составления отчетов СУБД, Эти отчеты могут использоваться для оценки общей производительности, а также для выполнения анализа тенденций и планирования емкостм. Performance Logs And Alerts (Журналы и оповещения производительности) также может быть сконфигурирована на генерацию оповешений в тех случаях, когда значение счетчика превысит или упадет ниже ранее определенного значения. По умолчанию оповещение приведет к записи события в журнале консоли Event Viewer (Просмотр событий)» но можно настроить отправку административного сообщения или инициировать выполнения программы.
Оснастка System Monitor (Системный монитор) позволяет в реальном масштабе времени выводить график активности. Эту оснастку также можно использовать для вывода информации, собранной в файлах протоколов оснасткой Performance Logs And Alerts (Журналы и оповещения производительности), в виде отчетов, графиков или гистограмм. System Monitor (Системный монитор) можно использовать для просмотра активности сервера всякий раз, когда падает производительность сервера. Напрнмер, можно анализировать деятельность процессора и очередей, а затем использовать эту информацию для выделения проблем определенных компонентов.
Настройка консоли Производительность
Необходимо настроить консоль Performance (Производительность) так, чтобы можно было определить, какое поведение системы является нормальным и какие изменения необходимо произвести для повышения производительности. Необходимо знать среднее количество сообщений, получаемых пользователем в день, и общее количество сообщений, загружаемых за определенный период времени. Также необходимо знать частоту, с которой пользователь открывает папки.
Если такая статистика имеется, то можно вычислить количество дополнительных пользователей, которое может поддерживать каждый сервер. Однако это далеко не точное вычисление. Трафик электронной почты неравномерен, он имеет явно выраженные пики. Также необходимо учитывать максимальную скорость доставки, пиковые периоды в течение дня, пиковые дни недели, а также существуют ли месячные или квартальные пики.
Для получения этой информации необходимо настроить консоль Performance (Пр。- изводительность) таким образом, чтобы вы моглн просматривать окружение всей системы, а затем регистрировать изменения в производительности серверов. Вот основополагающие принципы создания консоли:
Создайте два экземпляра консоли Производительность (Perfbrmance)t имеющие два различных периода снятия отсчетов, например:
900 секунд при 24-часовом просмотре:
10 секунд для захвата кратковременных пиков.
Включите в каждую консоль минимальный набор счетчиков, например:
Memory\Pages/scc (Память\Обмен страниц в сек);
Processor(_Total)\% Processor Time (Процессор、％ загруженности процессора);
Process(store)\% Processor Time (Процесс (хранилите)\% загруженности процессора);
MSExchangeIS\RPC Requests (MSExchangeIS\3anpocoB RPC);
口 MSExchangcIS'RPC Operations/sec (MSExchangeIS\Onepaunii RPC в сек);
PhysicalDisk(_Total)\Disk Transfcrs/scc (Физический диск\Обращений к диску/ сек);
SMTP Server\Local Queue Length (Сервер 8МТР\Длина локальной очереди);
SMTP Server\Messages Delivered/sec (Сервер 5МТР\Доставлено сообщений/ сек);
MSExchangclS Mailbox\Local Delivery Rate (MSExchangelS Mailbox\Лoкaльнaя доставка);
口 MSExchangelS Mailbox'Folder Opens/sec (MSExchangelS МаИЬох\Обращений к папкам/сек);
MSExchangelS Mailbox\Message Opens/sec (MSExchangelS Ма11Ьох\Открыто сообщен ий/се к).
Исследуйте самый загруженный сервер для того, чтобы понять, из-за чего он так сильно загружен и какие проблемы производительности можно разрешить.
Сохраните соответствующие файлы протоколов для того, чтобы данные базовой линии складывались в хронологическом порядке, что позволит видеть, какие изменения произошли, и приспособиться к дополнительному росту в течение длительного периода.
Анализ тенденций
Анализируя отчеты, созданные на основе данных, можно раскрыть принципы и предсказать тенденции. Анализ тенденций помогает определить, какие шаги необходимо предпринять для предотвращения проблем на серверах Exchange Server 2003 в будущем. Например, можно предсказать, когда при нормальном рост% например» почтового ящика, потребуется обновление хранилища.
Журналы протоколов
Журналы протоколов и их настройка были представлены в главе 11 «Безопасность Microsoft Exchange Server 2003», Фиксирование работы протоколов осуществляется для отслеживания команд, получаемых виртуальными серверами HTTE SMTP или NNTP от компьютеров клиентов, а также для отслеживания исходящих команд. Можно задать
график просмотра журналов протоколов, но в случае возникновения проблем у пользователей вы должны сами просматривать 巾ail лн журналов.
Имеются четыре типа формата файлов для хранения сведений. Эти форматы представлены в табл. 13-5.
Табл. 13-5. Форматы файлов журналов протоколов
Формат
Описание
IIS Log
Сведения записываются в текстовый ASCII-файл с разделением запятыми. Данные фиксированы, поэтому отсутствует возможность настраивать журнал
NCSA Common Log
Сведения записываются в текстовый ASCII-файл в формате National Center fbr Supercomputing Applications (NCSA). Данные фиксированы, поэтому отсутствует возможность настраивать журнал
ODBC Logging
Протоколируемые сведения записываются в базу данных. Перед использованием этого формата необходимо установить базу данных, совместимую со стандартом ODBC (open database connectivity)
W3C Extended Log
Сведения записываются в текстовый ASCII файл. Расширенный формат файла, предложенный И нтернет-кон с ори и умом (Wbrld Wide Ш:Ь Consortium, W3C), — это самый гибкий формат, поскольку данные представлены переменными, что позволяет выбирать, что вы хотите отслеживать
Включение фиксирования работы протоколов и выбор формата файла для виртуальных серверов SMTP н NNTP осуществляется с помощью Exchange System Manager (Диспетчер системы Exchange) путем настройки свойств виртуальных серверов. Кроме того, можно задать график создания новых файлов-журналов и размещение этих файлов (за исключением ODBC-формата). При использовании формата W3C Extended Log можно выбрать элементы, которые вы хотите отслеживать.
Управление протоколированием работы HTTP осуществляется с помощью консоли //S Manager (Диспетчер IIS) путем настройки свойств веб-сайта. По умолчанию протоколирование работы протоколов включено, а в качестве формата файлов выбран W3C Extended Log File.
Использование файла журнала протокола
Файл журнала протокола может использоваться для устранения неполадок общего характера. Предположим, например, что пользователи сообщают о получении сообщений, которые адресованы другим пользователям (они не указаны в строках То или Се). В этом случае необходимо использовать данные файла журнала работы SMTP для сравнения получателей, указанных в команде rept to, с адресом, который содержится в заголовке сообщения или в строках То и Сс сообщения. Еще одним пример: тот случай, когда вы изучаете журнал SMTP в поисках идентификатора сообщения (message identity) удаленной системы для того, чтобы можно было взаимодействовать с адм ин истратором другой системы в плане отслеживания сообщения.
Можно просматривать коды откликов, которые возвращает получающий сервер после того, как ваш сервер дает команду ehlo для определения максимального размера сообщения, которое может принять получающий сервер (например: 250-size 60000000). Данные из журнала можно использовать для генерации отчетов. Если другой сервер пытается использовать ваш сервер в качестве ретранслятора (предполагается, что настройка вашего сервера запрещает неазторизированную SMTP-трансляцию), в файл журнала протокола заносится код 550, соответствующий значению Relaying Prohibited (Ретрансляция запрещена) в поле состояния протокола. Можно написать сценарий поиска этого поля и подсчитать количество элементов с кодом 550.
НИР Monitor
Утилита HTTP Monitor (Монитор HTTP), входящая в Resource Kit, может использовать* ся для мониторинга веб-сайтов или приложений. Результаты проверки веб-сайта НТТРМоп предоставляет в виде отчета либо в формате текстового файла данных с разделением запятыми (comma^separated values, CSV), либо в формате журнала событий Windows Server 2003. Соответственно, можно использовать либо Windows Management Instrumeniation (WM1) для наблюдения за событиями, либо импортировать CSV-файл в Microsoft Excel или базу данных SQL для дальнейшего анализа.
Эта утилита позволяет протестировать своевременность реагирования веб-сайта Exchange на запросы компьютеров клиентов. НТТРМоп позволяет проверять одновременно несколько сайтов. НТТРМоп может использоваться для мониторинга OWA- серверов, а также для определения и устранения неполадок. Для мониторинга OWA на регулярно員 основе необходимо установить график.
НТТРМоп состоит из трех компонентов:
Realtime Sampling Service Служба мониторинга реального времени.
SQL Reporting Server Извлекает данные из наблюдаемых серверов и загружает их в Microsoft SQL Server.
Client Monitor Набор веб-страниц, выводящих результаты из БД SQL Reporting Server,
Установка НТТРМоп
В настоящее время HTTP Monitoring Tool (Монитор HTTP) доступен только в составе Windows 2000 Resource Kit и программой Resource Kit Setup не устанавливается. Для установки этой утилиты необходимо поместить компакт-диск Windows 2000 Resource Kil в привод CD-ROM. Когда появится окно Setup (Установка), щелкните Explore The CD (Обзор диска). В каталоге <c</roor>\apps\httpmon дважды щелкните Setup.exe и следуйте появляющимся на экране инструкциям.
При установке HTTP Monitoring Tool (Монитор HTTP) также будут установлены информационный файл (Readme.txt) и инструкция пользователя {НТТРМопjwhitepaper. doc). В них представлены сведения по настройке и использованию этого средства. Оба файла помещаются в тот же каталог, в который устанавливается НТТРМоп (по умолчанию, в C:\Program Files'Htipmon).
Совет Кроме того, HTTP Monitoring Tool можно загрузить с адреса ftp://ftp.microsoft. com/bussys/u tilities/httpm on.
Ограничения почтового ящика
Управление ограничениями почтовых ящиков должно выполняться регулярно. По умолчанию Exchange Server 2003 разрешает создавать почтовый ящик большого размера. Это позволяет пользователям хранить в своих ящиках большие объемы информации. Однако это может привести к тому, что некоторые пользователи будут иметь чрезмерно большие ящики. Для управления ограничениями почтовых ящиков используется Exchange System Manager (Диспетчер системы Exchange), а для проверки, достиг ли яшик установленных размеров, — консоль Event Viewer (Просмотр событий).
Найдите в дереве консоли Exchange System Manager (Диспетчер системы Exchange) узел mailbox и измените вид почтового ящика, чтобы стал доступен столбец Storage Limits (Ограничение хранения). Этот столбец позволяет увидеть, установлены ли для этого почтового ящика какие-либо ограничения и в каком состоянии находится яшик. Достижение ящиком установленных порогов размера можно проследить с помощью консоли Event Viewer (Проемотр событий). Microsofl рекомендует просматривать размеры почтовых ящиков раз в неделю* В табл. 13-6 представлены настройки ограничений, которые можно устанавливать в столбце Storage Limits (Ограничение хранения).
Табл. 13-6. Настройки ограничений почтового ящика
Ограничение
Описание
No Checking (Без проверки)
Почтовый яшик не имеет ограничений
Below Limit
(Ниже ограничения)
У почтового ящика имеются ограничения, но размер ящика не достиг этих ограничений
Issue V^rning (Отправлено предупреждение)
Размер ящика достиг уровня Issue Wiming, и в этот ящик доставлено предупредительное сообщение
Prohibit Send
(Отправка запрещена)
Размер ящика достиг уровня Prohibit Send, и пользователь этого я шика лишен возможности отправлять сообщения
Mailbox Disabled (Яшик отключен)
Размер ящика достиг уровня Prohibit Send and Receive, и ящик установлен в состояние Disabled (Недоступен). Пользователь этого почтового ятнка не может отправлять сообщения, а яшик не может получать сообщения
Для просмотра в журнале Приложение консоли Event Viewer (Просмотр событий) событий, отражающих достижение почтовыми ящиками различных стадий предупреждений ограничений хранилища, на сервере Exchange Server 2003 необходимо включить диагностическое протоколирование. Кроме того, для управления переполненными ящиками можно использовать процесс управления почтовым ящиком, известный как Mailbox Manager (Диспетчер почтовых ящиков).
Mailbox Manager (Диспетчер почтовых ящиков) определен как политика получателя (recipient policy) и может использоваться для создания отчетов или предприятия действий по очистке «старой» почты в ящиках пользователя. Можно запланировать (включить в график) запуск процесса управления почтовым я щи ком для выполнения регулярной очистки или запускать его вручную. Запуск вручную используется в тех случаях, когда
срочно требуется статистика использования почтовых ящиков или необходимо срочно удалить «старую» почту.
Для запуска процесса необходимо открыть Exchange System Manager (Диспетчер системы Exchange), перейти на соответствующий сервер, шелкнуть правой кнопкой этот сервер и выбрать Start Mailbox Management Process (Запустить процесс управления почтовыми ящиками). Запуск процесса происходит с небольшой задержкой, определяемой степенью загруженности ресурсов сервера.
Папка Badmail
Если сообщение достигло предела повтора (retry limit), a N DR-сообщен не не может быть доставлено отправителю, копия сообщения помещается папку Badmail. Помещенные в эту папку сообщения нельзя доставить или вернуть.
Со временем происходит накопление сообщений в папке Badmail. Если периодически не просматривать эту папку, то сервер Exchange Server 2003 может заполнить все дисковое пространство. Это приведет к отключению службы Microsoft Exchange Information Store. Необходимо установить политики контроля этой папки и удаления сообщений через некоторое время. Microsoft рекомендует просматривать содержание папки Badmail хотя бы один раз в неделю.
Еще одним доводом необходимости наблюдения за папкой Badmail является возможность скопления в ней сообщений от внешнего пользователя, пытавшегося ретранслировать спам (несанкционированная рассылка по электронной почте сообщений рекламного характера) через вашу Exchange-организацию.
По умолчанию папка Badmail размещается а корневом каталоге виртуального сервера. Изменить месторасположение этой папки можно с помощью Exchange System Manager (Диспетчер системы Exchange). Перейдите на вкладку Messages (Сообщения) диалогового окна Properties (Свойства) соответствующего виртуального сервера. Для проверки содержания папки Badmail можно использовать Проводник. Большое количество недоставленных сообщений может указывать на наличие проблем доставки, например отказ DNS или сети, либо потенциальная проблема безопасности, о которой свидетельствует наличие спама, каление сообщений в папке Badmail должно производится в соответствии с политиками вашей организации. Например, раз в неделю.
Почтовый ящик Postmaster
Учетная запись postmaster сконфигурирована для получения NDR-сообщений и используется для отправки состояния доставки (delivery status) сообщения отправителю. По умолчанию Exchange Server 2003 создает прокси-адрес postmaster и назначает его администратору, который создает Exchange-организацию. Лучше изменить эти настройки для того, чтобы имя учетной записи администратора было закрыто для внешних пользователей.
Примечание Документ RFC-822 (Request for Comments, RFC) определяет зарезервированный адрес для postmaster. Остальные документы RFC можно найти по адресу http^/'w^w.rfc-editor.org/rfc.htmL
Для присвоения почтового ящика определенного пользователя в качестве почтового ящика postmaster в локальном SMTP-домене производится добавление прокси postni aster^localdomainname в список пользователей адресов SMTP-прокси. С postmaster можно связать существующую учетную запись электронной почты либо создать специальную учетную запись postmaster, с которой будут отправляться NDR-сообщения.
Если вы решите создать специальную учетную запись, то вы сможете регистрироваться в системе с помощью этой учетной записи, используя профиль Outlook, и отвечать на сообщения этой учетной записи. Помимо зтого, можно делегировать разрешение Send As (Отправка от имени) лицу, которому вы доверяете задачу управления почтовым ящиком, и добавить почтовый ящик этого лица в профиль Outlook.
Необходимо установить постоянный ра巾нк просмотра и ответа на отчеты доставки, содержащиеся в почтовом яшике postmaster. Этот график должен удовлетворять требованиям организации. Некоторые организации делают это ежедневно, чтобы сократить количество электронных сообщений, поступающих пользователям, которые не работают в организации, в то время как другие компании делают это при еженедельной или ежемесячной операции обслуживания.
Лабораторная работа. Использование протоколов производительности, журналов протоколов и управление ограничениями почтовых ящиков
В ходе этой лабораторной работы вы настраиваете средство Performance Logs And Alerts (Журналы и оповещения производительности) на создание протоколов производительности для анализа тенденций и генерации отчета при превышении счетчиком Exchange заранее определенного значения. Также мы проверим журнал SMTP-протокола на предмет проблем, а также проверим переполненные почтовые ящики.
Упражнение 1. Настройка протокола производительности
В этом упражнении настраивается протокол производительности путем добавления необходимых счетчиков и указания интервала снятия показаний. Для достижения целей этого упражнения указывается интервал в 5 секунд. Если требуется протоколировать деятельность в течение длительного периода времени, то необходимо указать больший интервал, иначе файл протокола может вырасти до чрезмерного значения.
Для конфигурирования протокола производительности выполните следующие действия:
На ServerO] щелкните Start\Administrative TooIs\Perfbrmance (Пуск\Администрйро- ванис\Производитсльность).
В дереве консоли раскройте Performance Logs And Alerts (Журналы и оповещения п роизводител ьности).
Щелкните правой кнопкой Counter Logs (Журналы счетчиков), а затем щелкните New Log Settings (ЕГовые параметры журнала).
В поле Name (Имя) введите MyLog, а затем щелкните ОК.
На вкладке General (Общие) диалогового окна MyLog проверьте, что по умолчанию определено имя текущего файиЧа протокола C:\PerfLogs\MyLog_00000\.big.
Шелкните Add Counters (Добавить счетчики). В диалоговом окне Add Counters (Добавить счетчики) выберите Use Local Computer Counters (Использовать локальные счетчики).
В раскрывающемся списке Performance Object (Объект) выберите Processor (Процессор).
Выберите переключатель Select Counters From List (Выбрать счетчики из списка). В поле с прокруткой» расположенном под этим переключателем, выберите %Processor Time (% загруженности процессора).
Выберите переключатель Select Instances From List (Выбрать вхождения из списка) и выберите _TbtaL
Щелкните Explain (Объяснение) для получения описания этого счетчика, а затем щелкните Add (Добавить).
上IX上IXТаким же способом добавьте счетчик Processfstore)\% Processor Time (Процесс |хра- ншшнк]\% загруженности процессора). На рис. 13-10 представлено добавление этого счетчика.
上IX
上IX
Add Counters
广 Uses Jowl compule( counters
/ S elect ctxolers liom conjputet
♦sEFIVEFltnPkiwnanc^^bieci♦sEFIVEFltnPkiwnanc^^bieci|ProcessU All counter行 Select aXM^ec» liom btl|ProcessU All counter行 Select aXM^ec» liom btl广 AN uutancts»付 Sekc^ jn$i4nce« from list广 AN uutancts»付 Sekc^ jn$i4nce« from list
♦sEFIVEFltn
Pkiwnanc^^bieci
♦sEFIVEFltn
Pkiwnanc^^bieci
|Process
U All counter
行 Select aXM^ec» liom btl
|Process
U All counter
行 Select aXM^ec» liom btl
广 AN uutancts»
付 Sekc^ jn$i4nce« from list
广 AN uutancts»
付 Sekc^ jn$i4nce« from list
YUwuTMe口 e&mg Piocess ID Elapsed TimeYUwuTMe口 e&mg Piocess ID Elapsed Timetvehos*svchtMrtttttvehos*svchtMrttttExplain IExplain I二J二J
YUwuTMe
口 e&mg Piocess ID Elapsed Time
YUwuTMe
口 e&mg Piocess ID Elapsed Time
tvehos*
svchtMrtttt
tvehos*
svchtMrtttt
Explain I
Explain I
二J
二J
Phc. 13-10. Добавление счетчика процесса
Добавьте счетчики МSExchangefS\R PC Requests (Запросов RPC) и MS Exchange IS\R PC Operations/sec (Операций RPC в сек).
Добавьте счетчики MSExchangelS Mailbox\Local delivery rate (Локальная доставка), MS Exchanges Mailbox\Folder opens/sec (Обращений к пап камД) и MSExchangMS Mailbox\Message opens/帛改(Открыто сообщен и й/с).
Добавьте счетчик PhysicalDisk(_Total)\Disk Trantfem/sec (Физический диск\Обращений к диску/сек).
Добавьте счетчик Memory\Pa^es/sec (Память\Обмен страниц в сек).
Добавьте счетчики SMTP Se/rer\(_Total)Local Queue Lw门glh (Длина локальной очереди) и SMTP Senary_ Total) Mensahs Delivered/sec (Доставлено сообщен и й/сек).
Примечание Можно выбрать экземпляр SMTP Server, поскольку в главе 9 ^Виртуальные серверы» вы создали дополнительный амртуальный SMTP-сервер. Если вы этого не сделали либо после создания удалили виртуальный сервер, то добавьте счетчики SMTP Serveг\Local Queue Length и SMTP Server\Messagcs Delivcrcd/sec.
Щелкните Close (Закрыть).
На вкладке General (Общие) диалогового окна MyLog задайте Sample Interval (Интерва.1) равным 5 секундам.
Щелкните ОК. Если будет предложено создать папку C:\Pcrflogs, щелкните Ves (Да).
В консоли Performance (Производительность) щелкните Counter Logs (Журналы счетчиков), а затем проверьте, что запушен журнал счстчика MyLog. Он должен быть зеленого цвета, и если щелкнуть его правой кнопкой, Start (Пуск) должна быть «серой».
На Server02 с помошью OWA отправьте электронное сообщение administrator@tailsp intoys.com с копиями d.hall@tailspintoysxom и s.alexander@tailspintoys.com.
На сервере ScrverOl с помощью Outlook 2003 отправьте электронное сообщение administrator@contoso.сот с копией Don Hall и Scan Alexander.
На ScrverOl создайте папку C:\Temporary. Скопируйте в эту пап ку содержимое папки C:\Windows\Drivcrs, удалите папку C:\Temporary, а затем очистите Корзину.
Примечание Действия 21, 22 и 23 предназначены для генерации входных данных для наблюдаемых счетчиков производительности. Также действительными являются любые другие тестируемые действия.
В Performance Logs And Alerts (Журналы и оповешения производительности) на ServerO 1 щелкните правой кнопкой файл протокола Му Log、а затем щелкните Stop (Стоп).
Упражнение 2. Генерация отчета производительности
Для чтения файла протокола Му Log и генерации отчета выполните следующие действия:
На ServerO 1 в меню Start (Пуск) щелкните Administrative Tools (Администрирование), а затем выберите Performance (Производительность).
В дереве консоли щелкните System Monitor (Системный монитор).
В панели деталей щелкните 片cw Log Data (Просмотр данных журнала).
В диалоговом окне System Monitor Properties (Свойства: Системный монитор) перейдите на вкладку Source (Источник), щелкните Log Files (Файлы журналов), а затем щелкните Add (Добавить).
В диалоговом окне Select Log File (Выбор файла журнала) найдите C:\Perflogs в поле Look In (Поиск) (если еще не выбран).
Щелкните файл протокола MyLog_00000Lbig, а затем щелкните Open (Открыть).
В диалоговом окне System Monitor Properties (Свойства: Системный монитор) перейдите на вкладку Data (Данные), а затем щелкните Add (Добавить).
В диалоговом окне Add Counters (Добавить счетчики) добавьте все счстчикрт для всех доступных объектов производительности, а затем щелкните Close (Закрыть).
Щелкните ОК для закрытия диалогового окна System Monitor Properties (Свойства: Системный монитор).
Ю* С помощью панели инструментов выберите просмотр данных в виде графика, гистограммы или в формате отчета. Формат отчета представлен на рис. 13-11.
Рнс. 13-11. Собранные данные выводятся в формате отчета
Изучите собранные данные для определения проблем производительности, которые необходимо устранить.
Упражнение 3. Чтение файла журнала SMTP-протокола
В главе 11 вы в общих понятиях исследовали комфи1урацию журналов протоколов. В этом упражнении вы рассмотрите специальный файл журнала. Подразумевается» что ведение журнала на виртуальном SMTP-сервере включено, а, следовательно, существует папка SMTPSVC1. Если этого нет, то с помощью Exchange System Manager (Диспетчер системы Exchange) перейдите к диалоговому окну Properties (Свойства) виртуального сервера Default SMTP, воючите ведение журнала, а затем отправьте сообщение admin istrator@coя toso,сот *
I. На ServerOl в меню Start (Пуск) щелкните Run (Выполнить), введите С:'Windows' System32\LogFiles\SMTPSVC1, а затем щелкните ОК.
2+ В окне C:\Windows\Systcm32\Logfiles\SMTPSVCl откройте любой файл журнала,
Прочитайте этот файл.
Если существует папка W3SVC1, то прочитайте любой файл журнала в этой папке. Некоторые файлы могут содержать очень много информации.
Закройте файлы журналов.
Упражнение 4, Создание политики хранилища почтового ящика и политики получателя, проверка переполненных ящиков
В этом упражнении проверяются переполненные яшики. Для этого сначала необходимо создать и применить политику хранилища почтового яшика н политику получателя.
L Запустите Exchange System Manager (Диспетчер системы Exchange).
Перейдите в Administrative Groups\First Administrative Group\Servers\ServerOl\First Storage Group\Mailbox Store (SERVERO 1 )\Mailboxes.
Щелкните Mailboxes. В меню View (Вид) щелкните Add/Remove Columns (Добавить или удалить колонки).
В диалоговом окне Add/Remove Columns (Добавление и удаление колонок) в поле Available Columns (Доступные) щелкните Storage Limits (Ограничения хранения), а затем щелкните Add (Добавить),
В поле Displayed Columns (Отображаемые колонки) щелкните Move Up (Вверх) до тех пор, пока Storage Limits (Ограничения хранения) не станет вторым элементом в списке (рис. 13-12), а затем щелкните ОК.
Рис* 13-12. Настройка вида постового ящика для просмотра ограничений
В панели деталей Mailboxes в Exchange System Manager (Диспетчер системы Exchange) посмотрите в столбце Storage Limits (Ограничения хранения), вышли ли какие-нибудь почтовые яихики за свои ограничения.
Совет Шелкните на заголовке столбца Storage Limits для сортировке данных по состоянию ограничений хранения. Это упростит поиск больших почтовых ящиков.
Для удаления писем из переполненных почтовых яшиков в Exchange System Manager (Диспетчер системы Exchange) перейдите в Administrative Groups\First Administrative Group\Servers\ServerO], щелкните правой кнопкой ServerO 1, а затем щелкните Start Mailbox Management Process (Запуск процесса управления почтовым ящиком). Mailbox Manager (Диспетчер почтовых ящиков) удалит письма, основываясь на политике получателя, заданной для почтовых ящиков.
Занятие 3. Выполнение контроля и обслуживания Exchange Server 2003 по требованию
По мере роста баз данных Exchange Server 2003 они могут становиться фрагментированными. Это вызывает снижение про и зводительности, которое повлияет на пользователей. Фрагментацию БД Exchange можно устранить с помощью средств и утилит Exchange Server 2003. Для выяснения нормальной работы и аномальных отклонений в работе серверов Exchange Server 2003 также можно наблюдать за очередями и производительностью. Обычно вы пол некие задач обслуживания по требованию — это результат ошибок, о которых сообщают утилиты или пользователи* В ходе этого занятия рассматриваются часто используемые операции обслуживания по требованию. Средства устранения неполадок и методики их использования подробно рассматриваются в главе 14 «Устранение проблем Microsoft Exchange Server 2003».
Изучив материал этого занятия, вы сможете:
/ определить задачи обслуживания, выполняемые по требованию;
/ объяснить назначение дефрагментации БД;
“ дефрагментировать хранилища почтового яшика и общедоступной папки;
/ использовать пилитуг isinteg для проверки целостности хранилР1Щ；
，определить, что необходимо искать при проверке очередей.
Продолжительность занятия — около одного часа.
Задачи обслуживания по требованию
Обслуживание по требованию необходимо для разрешения проблем, обнаруженных в ходе ежедневного или планового обслуживания либо о которых сообщили пользователи. Вот обычные задачи обслуживания по требованию:
Дефрагмешация хранилища почтового ящика или общедоступной папки Со временем, по мере роста хранилише БД Exchange Server 2003 может стать фрагментированным, что снижает производительность. Дефрагментация БД Exchange выполняется с помощью утилиты Eseutil.exe. Она обеспечивает непрерывность пространства хранения, а также уменьшает размер баз данных,
Проверка целостности хранилища почтового ящика и общих папок Несогласованность в БД Exchange Server 2003 можно устранить с помощью утилиты Isinteg.exe. Эта утилита может проверять целостность н исправлять ошибки в БД.
Проверка очередей Как упоминалось в занятии I, для мониторинга очередей может использоваться утилита Queue Viewer (Просмотр очереди). Она дает возможность определить нормальную и аномальную деятельность, а также анализировать тенденции. Большое число сообщений, скапливающихся в очередях1 указывает на угрозу безопасности, спам-атаку или проблемы с производительностью сети.
Дефрагментация в оперативном режиме
Дефрагментация в оперативном режиме создаст новую дефрагментированную БД и уменьшает ес размер. Сильно дефрагментированная БД не может достаточно быстро принимать сообщения, нс справляясь с входящими объемами. Автономное ^сжатие» и дефрагментация создает новую версию ВД, которая меньше и «быстрее» оригинала.
Перед автономной дефрагментацией БД ее необходимо размонтировать. Необходимо также убедиться, что свободное дисковое пространство составляет по меньшей мерс 110% размера обрабатываемой БД. Если на томе, на котором находится БД, недостаточно свободного пространства, необходимо либо освободить его, либо переместить БД на том с。свободным пространством, достаточным для работы утилиты.
Eseutil ——это утилита, запускаемая из командной строки. Утилита изучает структуру таблиц и записей БД. Эта деятельность включает чтение, сканирование, исправление ошибок и дефрагментирование БД.
В табл. 13-7 перечислены режимы работы eseutil.
Табл. 13-7, Режим работы eseutil
Режим
Функция
eseutil /d eseutil /г eseutil /g eseutil /m eseutil /p eseutil /с eseutil /k eseutil /у
Выполняет «сжатие» БД в автономном режиме
Выполняет восстановление и перевод БД в «непрерывный» вид
Проверяет целостность БД
Генерирует форматированный вывод файлов БД различных типов
Исправляет испорченную или поврежденную БД
Восстанавливает информацию
Проверяет контрольные суммы БД
Копирует поточный файл БД или файл протокола
Дефрагментация хранилищ Exchange
При дефрагментации БД в группе хранения этот процесс делает используемое хранилище непрерывным, устраняя неиспользуемое хранилище, и делает БД более компактной, копируя записи БД в новую БД. После завершения дефрагментации оригина^тьная БД либо удаляется, либо сохраняется в указанном пользователем месте, а новая версия переименовывается в имя оригинала. В группе хранения одновременно может дефрагментироваться только одна БД. Однако БД из различных групп хранения могут дефрагментировать одновременно, если хватает ресурсов.
Для дефрагментации БД сначала с помощью Exchange System Manager хранилище Exchange размонтируется, а затем из командной строки запускается утилита eseutil/d.
Проверка целостности хранилища Exchange
Иногда в хранилище Exchange искажаются заголовки, указатели или иные индикаторы. Это ведет к нарушению целостности хранилища. В любой из нижеприведенных ситуаций требуется проверка целостности:
Счетчик писем почтового ящика непоследователен Если вы знаете* что в почтовом ящике, например, 10() писем, а счетчик сообщает о другом количестве, то могут быть повреждены ряд счетчиков или указателей в хранилище почтового ящика.
Невозможно переместить почтовый ящик Если команда Move Mailbox или утилита exmerge при выполнении в отношении определенного почтового ящика завершается неудачей, то скорее всего повреждена структура самого ящика или структура сообщений в этом ящике.
Часто происходят аварии с хранилищем Exchange или компьютером клиента Если, например, Outlook неоднократно отказывает при попытке пользователя обратиться к определенному почтовому я ши ку или одному сообщению в этом ящике, то скорее всего повреждена структура самого ящика или структура сообщений в этом ящике. Если имеются предположения о нарушении целостности, то для распознания и исправления ошибки используется утилита is in teg. запускаемая из командной строки, /sin teg выполняет поиск в автономном хранилище Exchange недостатков целостности. Сначала она проверят, остановлена ли служба MSExchangelS. Если служба остановлена, isinteg выводит сообщение «Error: unable to get databases status from server. The reason could be either wrong server name or networking problems1» и затем сама останавливается.
Если служба запушена, isinteg выводит список баз данных. После выбора БД isinteg проверяет на ошибки таблицы перекрестных ссылок. Для этого она сначала строит БД подсчета ссылок с именем refer.mdb. После этого она просматривает таблицы и сравнивает количество найденных с количеством в refer.mdb. При запуске isinteg с ключом -fix, эти значения обновляются до истинных значений. И, наконец, isinteg выполняет прочерку «named to ID》или «named properties cleanup» для удаления неиспользуемых свойств named,
В табл. 13-8 перечислены ключит которые могут использоваться с утилитой isinteg.
Табл. 13-8. Ключи isinteg
КлючНазначение
-fixИсправляет любое несо(угветствие в выбранной БД
-verboseВыводит подробный отчет, несоответствий, найденных isinteg
-testОпределяет проверки, которые будет выполнять isinteg при запуске (напри-
TestName мер, для выполнения всех доступных проверок используется -test alltests).
Проверка очередей
Для обслуживания и адм и н истрирова н ия очередей сообщений и для определения проблем почтовых потоков можно использовать Queue Viewer (Просмотр очереди). Сначала
Ошибка: невозможно получить от сервера состояние БД. Причина может быть в неверном имени сервера или наличия проблем в сети.
необходимо выявить базовую линию очередей для того, чтобы можно было выяснить разннну между нормальным и аномальным поведением. Обычно использование по требования Queue Viewer (Просмотр очереди) является следствием звонков пользователей в службу поддержки, сообщающих о недоставке или слишком медленной доставке сообщений. Queue И/ewer (Просмотр очереди) можно использовать для проверки следующих моментов:
Длительность нахождения в очереди Обычно сервер Exchange Server 2003 не помещает сообщения в очередь на длительный период. Нахождение в очереди длительное время указывает на ненормальное поведение системы, которое необходимо расследовать* Необходимо изучить значения производительности. Возможно постановка почты в очередь вызвала другие проблемы (например, чрезмерная нагрузка). Если нет, найдите неработающие или выключенные соединения или серверы.
Пики сообщений в очередях Пики сообщений в очередях могут возникать, когда кто-либо посылает одно сообщение большому числу получателей, очень большое сообщение нескольким получателям либо сообщение, соединение с пунктом назначения которого осуществляется через «медленное^ сетевое подключение.
Не паникуйте... пока
Длительные периоды нахождения в очереди и пики — это норма. Как правило, это еще не является поводом для тревоги. Однако, если нм найдете большое количество скопившихся сообщений с одной учетной записи, необходимо предпринять незамедлительные действия. Это может быть признаком спама или DoS-атаки (Denial of Service, DoS). Вели увидите большое количество сообщений в очереди на определенный сервер или домен, то, возможно, сервер отключен, служба остановлена, домен недоступен или нет возможности осуществить сетевое подключение.
Средства управления Exchange Server 2003
В состав Exchange Server 2003 входит Microsoft Operations Manager (Диспетчер операций Microsoft). Он собирает данные о производительности, генерируемые серверами Exchange Server 2003, в централизованное место. Этот диcпcp^ep также фильтрует, анализирует, составляет отчеты и реагирует на эти события. Microsoft Operations Manager (Диспетчер операций Microsoft) используется для автоматизации мониторинга большого количества серверов для обеспечения наилучшего уровня обслуживания компьютеров клиентов.
Microsoft Exchange Application Management Pack (Пакет управления приложениями Microsoft Exchange) включает ключевые метрики производительности, которые наблюдают за обшей производительностью Exchange-организации, и оповещаете критических проблемах производительности. При использовании механизма генерации отчетов Microsoft Operations Manager (Диспетчер операций Microsoft) вы можете анализировать и выводить данные о производительностиs для того чтобы понять тенденции использования, выполнить точное выравнивание нагрузки н управлять емкостью системы.
Лабораторная работа. Дефрагментация хранилищ Exchange и проверка их целостности
В ходе этой лабораторной работы для дефрагментации хранилищ и проверки их целостности используются утилиты командной строки eseutil и isinmg*
Примечание Перед выполнением любой нз операций необходимо размонтировать хранилище.
Упражнение 1. Дефрагментация хранилища почтового ящика
Для дефрагментации хранилища почтового я шика с помошью утилиты eseutil выполни* те следуюшие действия:
L Запустите Exchange System Manager (Диспетчер системы Exchange).
Перейдите Administrative Groups\First Administrative Group\Scners \Scrvcr01\First Storage Group и разверните Fiz Storage Group.
В дереве консоли щелкните правой кнопкой Mailbox Store (SERVER。］)、а затем щелкните Dismount Store (Отключить хранилище).
В окне предупреждения шелкните、0s (Да) для размонтирования хранилища почтового ящика.
Откройте консоль Comtnand < Команды) на Sei'vcrOl.
В командно|| строке введите cd \program files\exchsrvr\bin, а затем нажмите клавишу ENTER.
В командной строке введите eseutil /d «c:\program files\exchsrvr\mdbdata\privl. edb», а затем нажмите клавишу ENTER.
Просмотрите результат выполнения eseutil в окис командной строки для проверки успешности завершения процесса дефрагментации (рис. 13-13).
Рис. 13-13. Вывод результатов выполнения eseutil
В Exchange System Manager щелкните правой кнопкой Mailbox Store (SERVER01), щелкните Mount Store (Подключить хранилище), и затем щелкните ОК для подтверждения успешности монтирования хранилмща.
Упражнение 2. Проверка хранилища почтового ящика
Для проверки целостности хран илища почтового ящика с помощью утилиты is in teg выполните следующие действия:
L Запустите Exchange System Manager (Диспетчер системы Exchange).
Перейдите в Administrative Gгоиps\First Adminisirative Group\Servcis\Server01\First Storage Group.
Разверните First Storage Group, щелкните правой кнопкой Mailbox Store (SERVERfH)、 а затем щелкните Dismount Store (Отключить хранилище),
В окне предупреждения щелкните Yes для размонтирования хранил ища почтового ящика.
5* Откройте консоль Command (Команды) на Server。L
В командной строке введите cd \program files\exchsrvr\bin, а затем нажмите клавишу ENTER.
В командной строке введите isinteg -s serverOI -test allfoldertests, а затем нажмите клавишу ENTER
Когда будет предложено указать число для выбора базы данных, введите число, которое соответствует Mailbox Store (SERVER0D、а затем нажмите клавишу ENTER Число, связанное с Mailbox Store, изменяется н зависимости от количества Exchange- хранилищ, созданных на сервере,
Когда будет предложено продолжить работу с выбранным хранилищем First Storage Group/Mailbox Store (ServerOI), введите Y, а затем нажмите клавишу ENTER.
Просмотрите результаты в консоли Command (Команды) (рис. 13-14)^ чтобы убедиться в отсутствии ошибок, а затем закройте зту консоль.
С$ЧЁкпсигк：п t s fl»rf Ka 11 In gs ''Л drain is t »•<* to r. SfJMJ EW1 >c й\р*а!}Ли^^Д^\вкс1и7игЧЫ«|
С：\Ргчйг*п Fi 1vs\ExcBiqfvt*\bin>lsIntcji -* SBrvnrHl -tent *11ГаЫег<еяС# UaLahesos Fur uorver serverBl：
Only d^talMans №trkci! as OFfline can M ckKcJwd
lnd«* St«tua П*1;лЬ«я.«! -Нмчс
"(агл^е C^rtHip Кам： Firn-t Starngc Gm«i>
IOff lineHai lb<»K Stura < SEW I： RBI >
2On 1 in»Public Poldflr Sture С^：ПиЕЙЙ1)
1；(а1*М^е Gl4»"单 H*|U： Hy Stor*BB Gro”V
3On 1 IneНу МлНЬам tttare
•■nter a nunbea* tw s«l«Gt * «Uta(M»e at* #»ч»ш« Returft te exit.
You 12“ uelDcttid First Ягаглдв Group / Кл.111»к 耻。tw《©EKUEJtlll〉*
<i«nt 4п««?СУ/Н>у
lett г«Г«г«»с« (лЫп canctmctian rcni*lt« И erroria)t Й w*mJ^0<3>； / ££к《е#); row<ч)： Ыив：傾H：(9m：0a
Ie・t Faldar resulte 0 error<e>l 0 ”лга1пд<м>； ■ f 1к<«а>； Л5Н eu4H>工 tl«e： ШнН
Hou in test 3Cr«Farancn count v«r&Ficatli»n> of Cat^l Э t3・*n$ iMx •onplrl*
C:、Pr"ur#m P£letiMxthHrw'hln》—丄 一 _. *. _ _.，
Рис. 13-14. Вывод результатов выполнения isinteg
В Exchange System Manager щелкните правой кнопкой Mailbox Store (SERVEROI), а затем щелкните Mount Store (Подключить хранилище). Щелкните ОК для подтверждения успешности монтирования хранилиша.
耳 Практикум по устранению проблем
Newark Monitor (Сетевой монитор) — это одно из основных средств, используемых в Windows Server 2003 и Exchange Server 20()3. Оно позволяет точно видеть, что происходит в сети, практически на урон не отдельных разрядов. Вы можете определять типы фреймов, передаваемых и получаемых любым компьютером, определять загруженность компьютера и анализировать трафик, которым он нагружен. Вы можете определить пропорции глобального, однонаправленного и широковещательного трафика в сети.
В ходе этого практикума вы устанавливаете версию Network Monitor (Сетевого монитора), поставляемую с Windows Server 2003. Это позволяет вам просматривать пакеты, получаемые и передаваемые сервером (ServerOJ)» на котором она установлена. Далее, вы используете это средство для перехвата и изучения пакетов, передаваемых между ServeгО) и ServerO2T а также настраиваете фильтры вывода для предоставления необходимой информации. Эта же методика используется для настройки фильтров захвата, что позволяет перехватывать только необходимую информацию.
Имеется возможность просматривать поднабор данных, накопленных Network Monitor (Сетевой монитор), используя элемент управления, называемый «дерево решений» (decision tree), позволяюший с помощью Булевой алгебры (двоичной логики) указывать, что вы хотите видеть. Этот процесс не столь сложен, как может показаться. Например, можно указать просмотр только фреймов, использующих TCP-протокол (Transmission Control Protocol, TCP), либо всех фреймов, за исключением использующих ТСР-прото- кол. Можно выбрать просмотр только фреймов, посланных определенному узлу или получаемых определенным узлом. Услоэия можно комбинировать, выводя, например, лишь TCP-фреймы, посланные определенному узлу.
Дерево решений и Булеву алгебру легче понять на примерах конкретного использования. Вы с ними познакомитесь в ходе этого практикума.
Перед выполнением этой практической работы необходимо проверить, что ваша сеть настроена так, как указано в разделе «Прежде всего» в начале этой главы* Кроме того, потребуется установочный компакт-диск Windows Server 2003, Enterprise Edition.
Упражнение 1, Установка и использование
Network Monitor
Для установки н работы с Network Monitor (Сетевой монитор) выполните следующие действия:
L На ServerOl вставьте в привод компакт-диск Windows Server 2003, Enterprise Edition*
Откройте консоль Command (Команды) и введите ipconfig /all, а затем нажмите клалишу ENTER. Запишите физический, или МАС-адрес (Media Access Control, MAC) карты подключения к локальной сети (Local Area Connection).
В Панели управления откройте Add/Remove Programs (Установка и удаление программ).
Выберите Add/Remove Windows Components (Установка и удаление компонентов Wndows).
В мастере Windows Components Wizard (Мастер компонентов Windows) выберите Management And Monitoring Tools (Средства управления и наблюдения), а затем щелкните Details (Состав).
Установите флажок Network Monitor Took (Средства сетевого монитора), а затем щелкните ОК. После установки Сетевого монитора закройте окно Add/Remove Programs (Установка и удаление программ).
Примечание В ходе установки пилиты Network Monitor автоматически устанавливается ее драйвер.
Выберите St art、Pro grams'Administration Tools (Пуск\Всс программы\Администриро- вание), а затем щелкните Network Monitor (Сетевой монитор).
Поскольку это первый запуск Network Monitor (Сетевой монитор)» то будет предложено выбрать сеть. Разверните Local Computer (Локальный компьютер), щелкните Local Area Connection (Подключение по лока.1ьной сети), проверьте, что МАС-адрес соответствует записанному, а затем щелкните ОК.
Появится окно сбора пакетов Network Monitor (Сетевой монитор). В меню Capture (Запись) щелкните Start (Запустить).
Откройте на ServerOl приложение Outlook.
Отправьте сообщение на адрес admin istra tor@co л fewo .com (где contoso.cotn — это домен, в котором установлен Serveг02). В тексте сообщения введите Now is the time for all good men to come to the aid of the party,
«Прозвоните» Server02 no FQDN-имсни (полностью определенному имени домена) (fully qualified domain name, FQDN) и no IP-адресу (командой ping).
В меню Capture (Запись) щелкните Stop And View (Остановить и просмотреть). Появится окно с итогами сбора.
В меню Display (Отображение) щелкните Colors (Цвета). Выберите ICMP, укажите цвет фона (напрнмер, красный), а затем щелкните ОК. Все ICMP-фреймы теперь будут выводиться в этом цвете.
Дважды щелкните на первом фрейме в списке. Экран должен выглядеть, примерно как на рис. 13-15. Он содержит панели (сверху вниз) Summary (Сводка), Detail (Подробности) и Нех (Шестнадцатеричный вид).
Рис. 13-15. Панели Summary, Detail и Нех в Network MonitorРис. 13-15. Панели Summary, Detail и Нех в Network Monitor
Рис. 13-15. Панели Summary, Detail и Нех в Network Monitor
Рис. 13-15. Панели Summary, Detail и Нех в Network Monitor
Выполните прокрутку элементов в панели Summary (Сводка). Вы найдете отправленное сообщение электронной почты на панели Нех (Шестнадцатеричный вид) в TCP-фрейме (рис. 13-16),
Microsoft Network Monttor - (Capture: I (Нем)]'^- ■Microsoft Network Monttor - (Capture: I (Нем)]'^- ■好 Bfe，& 一敢1aУ J°* Stiortf 置indow №/ 」日 12d百可F畐阿蓟請回D+ |函亏闸蘭网回1 q) ? IFruit I Tl»a-1 Src ИЛС Addr | 0*c НАС Addr | Protocol | Deecripcion3好 Bfe，& 一敢1aУ J°* Stiortf 置indow №/ 」日 12d百可F畐阿蓟請回D+ |函亏闸蘭网回1 q) ? IFruit I Tl»a-1 Src ИЛС Addr | 0*c НАС Addr | Protocol | Deecripcion316S1.Z937S7LOCAL00И0В74СЭ7Л9TCPControl Bits: _AP117$1.323800LOCALQGD0B74C37A9TCPCont-tdl Blb*t A. .16S1.Z937S7LOCAL00И0В74СЭ7Л9TCPControl Bits: _AP117$1.323800LOCALQGD0B74C37A9TCPCont-tdl Blb*t A. .E JR&KK: Base fraue propertiesS■ ITHIMJST: IType = Internet IP (IPv4)由“IP: Protocol = TCP - TransaisSion Control; Packet ID в 4707E; Totul IP L«n^E JR&KK: Base fraue propertiesS■ ITHIMJST: IType = Internet IP (IPv4)由“IP: Protocol = TCP - TransaisSion Control; Packet ID в 4707E; Totul IP L«n^二二6，「可1三工之1_611？：. .人 ，l中n：二+工3 . ■E子q? .!9gEg9：L?7S>-8E*E》**，m「■u火 ： 4。7316 3u二二6，「可1三工之1_611？：. .人 ，l中n：二+工3 . ■E子q? .!9gEg9：L?7S>-8E*E》**，m「■u火 ： 4。7316 3uРис. 13*16. Фрейм, содержа(ций текст письмаРис. 13*16. Фрейм, содержа(ций текст письма
Microsoft Network Monttor - (Capture: I (Нем)]'^- ■
Microsoft Network Monttor - (Capture: I (Нем)]'^- ■
好 Bfe，& 一敢1aУ J°* Stiortf 置indow №/ 」日 12d
百可F畐阿蓟請回D+ |函亏闸蘭网回1 q) ? I
Fruit I Tl»a-1 Src ИЛС Addr | 0*c НАС Addr | Protocol | Deecripcion3
好 Bfe，& 一敢1aУ J°* Stiortf 置indow №/ 」日 12d
百可F畐阿蓟請回D+ |函亏闸蘭网回1 q) ? I
Fruit I Tl»a-1 Src ИЛС Addr | 0*c НАС Addr | Protocol | Deecripcion3
16S1.Z937S7LOCAL00И0В74СЭ7Л9TCPControl Bits: _AP1
17$1.323800LOCALQGD0B74C37A9TCPCont-tdl Blb*t A. .
16S1.Z937S7LOCAL00И0В74СЭ7Л9TCPControl Bits: _AP1
17$1.323800LOCALQGD0B74C37A9TCPCont-tdl Blb*t A. .
E JR&KK: Base fraue properties
S■ ITHIMJST: IType = Internet IP (IPv4)
由“IP: Protocol = TCP - TransaisSion Control; Packet ID в 4707E; Totul IP L«n^
E JR&KK: Base fraue properties
S■ ITHIMJST: IType = Internet IP (IPv4)
由“IP: Protocol = TCP - TransaisSion Control; Packet ID в 4707E; Totul IP L«n^
二二6，「可1三工之1_611？：. .人 ，l中n：二+工3 . ■E子q? .!9gEg9：L?7S>-8E*E》**，m「■u火 ： 4。7316 3u
二二6，「可1三工之1_611？：. .人 ，l中n：二+工3 . ■E子q? .!9gEg9：L?7S>-8E*E》**，m「■u火 ： 4。7316 3u
Рис. 13*16. Фрейм, содержа(ций текст письма
Рис. 13*16. Фрейм, содержа(ций текст письма
В панели Detail (Подробности) разверните /Р и выполните прокрутку. Можно, например, определить в этом фрейме адрес источника и адрес получателя.
Сохраните собранные сведения, щелкнув Save As (Сохранить как) в меню File (Файл) и указав имя файла. По умолчанию результат сбора сохраняется в файле с расширением хар (от capture). При новом сборе или попытке выйти из Network Monitor (Сетевой монитор) без сохранения вам будет предложено сохранить данные.
Примечание В данной процедуре было собрано небольшое количество фреймов. При сборе большого количества, в течение длительного периода, выделения цветом окажется недостаточно для просмотра фреймов, относящихся к конкретному протоколу, В этом случае можно указать фильтр вывода, выводящий только фреймы» удовлетворяющие определенному условию. Для просмотра этой методики можно использовать сохраненные данные.
Для настройки фильтра вывода откройте только что созданный файл с результатами сбора с помощью меню File (Файл) утилиты Network Monitor (Сетевой монитор). Обратите внимание, что вы нс сможете продолжить выполнение упражнения без сохранения и повторной загрузкн файла, хотя всегда разумней сохранять файл, с которым вы работаете.
В меню Display (Отображение) щелкните Filter (Фильтр).
2L В диалоговом окне Display Filter (Фильтр отображения) щелкните Expression (Выражение) и перейдите на вкладку Protocol (Протокол).
Щелкните Disable All (Отключить все).
В поле Disabled Protocols (Отключенные протоколы) выберите TCP.
Щелкните Enable (Включить).
-!Dlx|-!Dlx|Щелкните ОК* Снова шелкните ОК для закрытия диалогового окна Display Filter (Фильтр отображения). Теперь Network Monitor (Сетевой монитор) будет выводить только TCP-фреймы (рис. 13-17),
-!Dlx|
-!Dlx|
Microsoft Network Monitor - (Capture: i (Summafy)1!1 '
寻 file E改 Coplay tools Options Window Help
专向「x1画剧 阍:府后同依'TRI Wvl m|阈闽 n| 7f[
50.40247650.402476Б0.402476 SO.402476 50.4024% $0.602764 Sl.te3714Si.273728 51-283743S1.2937S7 Si.293757 51.293757 乳.29” 57 SI.293757 51.293757 51.32380a 51.323800Б0.402476 SO.402476 50.4024% $0.602764 Sl.te3714Si.273728 51-283743S1.2937S7 Si.293757 51.293757 乳.29” 57 SI.293757 51.293757 51.32380a 51.323800LOCALLOCALOGD0B74C37A9OGD0B74C37A900D0B74C37A9 LOCAL00D0B74C3719LOCALLOCAL00D0B74C37A9L0CA1.00D0B74C37A9LOCAL00&0В74СЭ7Л9LOCAL 00D0B74C37A9LOCALLOCALLOCAL00D0B74C37A9 LOCAL00D0B74C3719LOCALLOCAL00D0B74C37A9L0CA1.00D0B74C37A9LOCAL00&0В74СЭ7Л9LOCAL 00D0B74C37A9LOCALLOCALLOCALLOCAL 00DOB74C37A.9 LOCAL 00DOB74C37A9 00DOB74C37A9 LOCAL 00D0B74C37A9 LOCAL0QD0B74C37A9 LOCAL 0gg”C3*?A9 LOCAL13goВ7g7A9 00D0B74C37A9 00D0B74C3'JA5LOCAL 00DOB74C37A.9 LOCAL 00DOB74C37A9 00DOB74C37A9 LOCAL 00D0B74C37A9 LOCAL0QD0B74C37A9 LOCAL 0gg”C3*?A9 LOCAL13goВ7g7A9 00D0B74C37A9 00D0B74C3'JA5ррррррррррррррр сг-ссссссссг-сссс ТТТТ7Т7ТТТТТТТТррррррррррррррр сг-ссссссссг-сссс ТТТТ7Т7ТТТТТТТТ|TФ protocol summary|TФ protocol summary户此3*3户此3*3Control Ei11*：Control Ei11*：Bits;Bits: -ЛР.Bits: .2.Bits;Bits: -ЛР.Bits: .2.
50.402476
50.402476
Б0.402476 SO.402476 50.4024% $0.602764 Sl.te3714
Si.273728 51-283743
S1.2937S7 Si.293757 51.293757 乳.29” 57 SI.293757 51.293757 51.32380a 51.323800
Б0.402476 SO.402476 50.4024% $0.602764 Sl.te3714
Si.273728 51-283743
S1.2937S7 Si.293757 51.293757 乳.29” 57 SI.293757 51.293757 51.32380a 51.323800
LOCAL
LOCAL
OGD0B74C37A9
OGD0B74C37A9
00D0B74C37A9 LOCAL
00D0B74C3719
LOCAL
LOCAL
00D0B74C37A9
L0CA1.
00D0B74C37A9
LOCAL
00&0В74СЭ7Л9
LOCAL 00D0B74C37A9
LOCAL
LOCAL
LOCAL
00D0B74C37A9 LOCAL
00D0B74C3719
LOCAL
LOCAL
00D0B74C37A9
L0CA1.
00D0B74C37A9
LOCAL
00&0В74СЭ7Л9
LOCAL 00D0B74C37A9
LOCAL
LOCAL
LOCAL
LOCAL 00DOB74C37A.9 LOCAL 00DOB74C37A9 00DOB74C37A9 LOCAL 00D0B74C37A9 LOCAL
0QD0B74C37A9 LOCAL 0gg”C3*?A9 LOCAL
13goВ7g7A9 00D0B74C37A9 00D0B74C3'JA5
LOCAL 00DOB74C37A.9 LOCAL 00DOB74C37A9 00DOB74C37A9 LOCAL 00D0B74C37A9 LOCAL
0QD0B74C37A9 LOCAL 0gg”C3*?A9 LOCAL
13goВ7g7A9 00D0B74C37A9 00D0B74C3'JA5
ррррррррррррррр сг-ссссссссг-сссс ТТТТ7Т7ТТТТТТТТ
ррррррррррррррр сг-ссссссссг-сссс ТТТТ7Т7ТТТТТТТТ
|TФ protocol summary
|TФ protocol summary
户此3*3
户此3*3
Control Ei11*：
Control Ei11*：
Bits;
Bits: -ЛР.
Bits: .2.
Bits;
Bits: -ЛР.
Bits: .2.
Рис. 13-17. Фильтрация всего за исключением ТСР-фреймов
Примечание Оюючсние (disabling) протокола не гарантирует, что фреймы этого протокола нс появятся в экране сбора Network Monitor (Сетевой монитор). Протокол, содержащий подпротоколы, например SMB-протокол (Service Message Block, SMB) вес равно будет выводиться, если его под протоколы остались разрешены.
19 За工 450
Если сейчас вы захотите выводить все фреймы, за исключением ТС Я то откройте диалоговое окно Display Filter (Фильтр отображения), выберите в дереве решений TCP-протокол и щелкните NOT, а затем щелкните ОК. Для возврата к предыдущему фильтру access, откройте диалоговое окно Display Filter (Фильтр отображения) и дважды шелкните на поле NOT рядом с протоколом, пока не будет выведено AND,
27* Для дальнейшего уточнения фильтра протоколов за счет фильтрации по определенным свойствам, таким как IP-адрес источника или МАС-адрес источника, выберите Filter (Фильтр) в меню Display (Отображение) сводки Network Monitor (Сетевой монитор)*
В диалоговом окне Display Filter (Фильтр отображения) щелкните Expression (Выражение).
Перейдите на вкладку Address (Адрес) и установите условие: Station 1 (Станция 1) указывается по 1Р*адресу сетевого адаптера на ServerOl. Выделите одиночную стрелку в панелм Direction (Направление) (рис. 13-18).
Рис. 13-18. Фильтрация по IP-адресу и направлению
Щелкните ОК. Еще раз щелкните ОК для выхода из диалогового окна Display Filter (Фильтр отображения). Network Monitor (Сетевой монитор) теперь будет выводить только TCP-фреймы, передаваемые ServerOl во внешнюю сеть. А фреймы, поступающие, например, на ServerOl с Serveг02, выводиться не будут.
3L В меню Display (Отображение) выберите Filter (Фильтр) и выделите созданное вами условие фильтрации. В разделе Delete (Удаление) щелкните Line (Строка), а затем щелкните ОК. Экран итогов сбора теперь будет выводить все фреймы.
Для вывода всего трафика между вашим сервером н конкретным узлом сети, независимо от используемого протокола, а также для фильтрации входящего н исходящего трафика щелкните Filter (Фильтр) в меню Display (Отображение).
В диалоговом окне Display Filler (Фильтр отображе1гия) щелкните Expression (Внра- жение).
В диалоговом окне Expression (Выражение) перейдите на вкладку Address (Адрес), а затем щелкните Edit Addresses (Изменение адресов).
Щелкните Add (Добавить) и добавьте 1Р-адрес Server02 (рис. 13-19). Щелкните ОК, а затем щелкните Close (Закрыть).
Рис. 13-19. Указание адреса для фильтрации
Выберите двусторонний трафик, где Station 1 (Станция 1) указывается по МАС-адресу сетевого соединения на SurverOl и Station 2 (Станция 2) — по IP-адресу, который вы только что добавили (рис. 13-20). Щелкните ОК. Еще раз щелкните ОК для закрытия диалогового окна Display Filter (Фильтр отображения).
Рис. 13-20. Указание двустороннего трафика между ServerOl и ServerOZ
Убедитесь, что выводимые фреймы содержат трафик между ServerOl и ServcrC2.
В меню Display (Отображение) щелкните Filter (Фильтр). Выделите и удалите только что созданное дерево решений.
Повторите настройку фильтра для вывода широковещательного трафика, который ваш сервер выдает а подсеть. Выберите МАС-адрес сетевого подключения ServerOl в качестве Station 1 (Станция 1* одиночную стрелку н широковещательный адрес в качестве Station 2 (Станция 2). Убедитесь, что теперь выводятся только широковещательные фреймы.
Закройте Network Monitor (Сетевой монитор).
Совет Фильтр вывода на основе дерева решений ——это очень мощное и удобное средство. Если вы знакомы с основами Булевой алгебры, вы можете настраивать очень сложные критерии фильтрации. Единственный способ изучить эту технологию —это практика.
ГЛАВА 1 4
Устранение проблем Microsoft
Exchange Server 2003
Занятие 1.Устранение проблем миграции и возможности взаимодействия537
Занятие 2.Устранение проблем серверов Exchange Server 2003547
Занятие 3.Устранение проблем организации Exchange Server 2003555
Занятие 4.Устранение проблем безопасности564
Занятие 5・ Устранение проблем технологий, обеспечивающих поддержку Exchange Server 2003572
Темы экзамена
Установка, настройка и устранение неполадок Microsoft Exchange Server 2003.
Установка, настройка и устранение неполадок Exchange Server 2003 в кластерной среде.
Настройка и устранение неполадок Exchange Server 2003 для взаимодействия с другими организациями обмена сообщениями.
Настройка и устранение неполадок Exchange Server 2003 для взаимодействия с другими системами обмена сообщениями.
Настройка и устранение неполадок для взаимодействия с SMTP-системами обмена сообщениями,
Управление, наблюдение и устранение неполадок «здоровья» сервера.
Управление, наблюдение и устранение неполадок хранилища данных.
Реализация и устранение неполадок архивации и восстановления.
Управление и устранение неполадок общедоступных папок.
Управление и устранение неполадок виртуальных IP-серверов.
Управление и устранение неполадок интерфейсных серверов и серверов СУБД.
Управление и устранение неполадок возможности соединения.
Управление и устранение неполадок возможности соединения через брандмауэры.
Разрешения управление и устранение неполадок.
Шифрование и цифровые подписи управления и устранения неполадок.
Диагностика проблем, возникающих из-за проблем протоколов разрешения узла.
Диагностика проблем, возникающих из-за проблем службы каталогов AD.
Диагностика проблем возможности сетевого подключения.
В этой главе
Просматривая план экзамена 70-284 или только что перечисленные темы экзамена, можно отмстить важность вопроса устранения неполадок как в ходе экзамена, так * в реальной жизни. Это именно ваша работа: установить организацию Exchange Server 2003, гарантировать, что она нормально работает, наблюдать за ней и выявлять тенденции. Однако, когда ваши навыки» знания и опыт у всех на виду, видно, за что вы ползаете деньги: при возникновении любой неполадки вы сможете ее устранить. Важность этой главы нельзя недооценивать. В ходе экзаменов всегда проверяется способность устранять неполадки.
Прежде всего
Для выполнения упражнений этой главы необходимо следующее аппаратное и программное обеспечение:
Два сервера Microsoft Windows Server 2003, Enterprise Edition. ServerO! должен быть контроллером домена tailspintoys.com. a Serveг02 ——контроллером домена в AD домене contosoxom. ServerO] должен иметь несколько сетевых адаптеров. Локальное соединение (Local Area Connection) на ServerO 1 должно быть в той же сети, что м локальное соединение на Server02. Второе локальное соединение на ServerO I имитирует внешнюю сеть. Его никуда не надо подключать, но при желании, его можно использовать для доступа в Интернет.
Примечание Если ваши AD домены имеют имена, отличные от tailspintoys.com и contoso.com, то изменять их не надо. В тех местах, где н дальнейшем в главе будут упоминаться имена tailspintoys.сот и contoso.com, используйте имеющиеся у вас имена.
Exchange Server 2003, Enterprise Edition должны быть установлены на обоих серверах. Scrver02 должен быть настроен как сервер восстановления для ServerO 1. Server02 был настроен как серзер восстановления в главе 12 «Архивация н восстанозление».
На ServerO 1 должен быть установлен Network Monitor. Это было сделано в главе 13 «Контроль работы Microsoft Exchange Server 2003*.
На ServerO 1 должны быть установлены Windows Support Tools. Файл установки находится в папке Support\Tools установочного диска Microsoft Exchange Server 2003.
Занятие 1. Устранение проблем миграции и возможности взаимодействия
«Чистая» установка Exchange Server 2003 и миграция (переход) с более ранних систем Exchange — совершенно четкий и строго определенный процесс. Тем не менее, если не удовлетворяются все требования, он может завершиться неудачей. Удаление сервера Exchange Server 2003 из организации более сложное, особенно, если на сервере существуют частные хранилища* Взаимодействие с иными системами обмена сообщений без проблем кодировки требует тщательной настройки.
Изучив материал этого занятия, вы сможете:
устранять неполадки установки и перечислить причины, из-за которых возможна неудача при «чистой» установке Exchange Server 2003;
， удалять сервер Exchange Server 2003 нз организации Exchange Server 2003, перечислить причины неудач при выполнении этой операции и объяснить возможные варианты «обхода» этой ситуации;
丿 проверять возможность подключения и доступности Domain Name System (DNS) и AD с помощью соответствующих средств, запускаемых из командной строки;
устранять проблемы миграции и обеспечения возможности взаимодействия.
Продолжительность занятия - около 60 минут.
Устранение проблем установки
Организация Exchange Server 2003 может быть создана за счет миграции с Exchange 2000 Server или Exchange Server 5,5. Однако может возникнуть потребность установить сервер Exchange Server 2003 или даже всей организации Exchange Server 2003 «с нуля». Установка была рассмотрена в главе 2 «Планирование инфраструктуры Microsoft Exchange Server 2003*. Обычно, установка Exchange Server 2003 довольно явный процесс, но что- то может не получиться. «Чистая>> установка Exchange Server 2003 может завершиться неудачей по целому ряду причин:
Целевой сервер не удовлетворяет аппаратным требованиям*
Целевой сервер нс удовлетворяет программным требованиям,
У вас нет соответствующих разрешений*
Не запущены соответствующие службы, либо запущены службы, которых не должно быть.
Недоступна AD.
Не выполнены утилиты ForestPrep м Domain Prep.
Недоступна служба DNS.
Если при установке Exchange Server 2003 не выполняются все требования, программа установки обычно выводит список всех требуемых условий. А вы должны определить, какое из этих условий не выполняется* Поэтому разумней проверить этот список
до выполнения установки. Первая страница руководства установки, появляющаяся после выбора New Exchange 2003, представляет вам перечень требований. Здесь также имеются ссылки на утилиты ForestPrep и DomainPrep.
Аппаратные и программные требования перечислены в главе 2 «Планирование инфраструктуры Microsoft Exchange 2003». Эта информация повторяется здесь сознательно, чтобы ее можно было оценить с точки зрения устранения неполадок м избавить вас от необходимости возвращаться назад.
Аппаратные требования
Процессор — минимум Pentium 133. Однако для Exchange Server 2003, Standard Edition рекомендуется иметь процессор Pentium Ш 500, а для Exchange Server 2003, Enterprise Edition — Pentium HI 733. Маловероятно, что процессоры всех остальных самых «старых» серверов не удовлетворяют минимальным требованиям» но если эти требования не соблюдаются, то могут возникнуть серьезные проблемы производительности во всех, кроме самых маленьких, организациях Exchange Server 2003.
Минимальный объем памяти ——256 мегабайтов (Мб). Возможно, это будет источником неудачи, если установка будет выполняться на машине Windows 2000 Server. Windows 2000 Server устанавливается на 128 Мб. Однако такая «неподходящая» машина будет странным выбором для сервера Exchange Server 2003. Скорее всего, у вас будут проблемы с производительностью» если объем памяти на сервере менее рекомендуемых 512 Мб.
Установка завершится неудачей, если на системном диске имеется менее 200 Мб свободного пространства и менее 500 Мб свободного пространства на разделе, в который устанавливается Exchange Server 2003. На практике, вы будете испытывать серьезные проблемы, если объем свободного пространства сократится до этих значений» Для обеспечения производительности Exchange Server 2003 обычно использует массивы дисков, что также обеспечивает защиту от отказов. Сервер будет хранить, по крайней мере, протоколы транзакций и, возможно, исполняемые файлы отдельно (в других разделах) от баз данных Exchange* Дисковые системы хранения рассматривались в главе 12.
Вряд ли машина, выбранная для установки Exchange Server 2003, не имеет CD-ROM- привода и видеокарты VGA. Кроме того, необходимо, чтобы все дисковые разделы, используемые Exchange Server 2003, имели формат NTFS. Обычно все разделы серверов Windows Server 2003 и Windows 2000 являются NTFS, за исключением машин, имеющих двойную загрузку.
Программные требования
Exchange Server 2003 не будет устанавливаться на целевой машине, на которой не установлена операционная система Windows Server 2003 или Windows 2000 Server с Service Pack 3 (SP3) и более поздними. Если для обеспечения возможности сохранения работоспособности (failover-процесс) вы собираетесь использовать службы кластеризации
Windows, то потребуются Windows 2000 Advanced Server или Windows Server 2003, Enterprise Edition. Ha Windows 2000 Server или Windows Server 2003, Standard Edition должна реализовываться служба Network Load Balancing. Службы SMTR Network News Transport Protocol (NNTP) и World Wide \Wb (WWW) должны быть установлены и включены на сервере до установки Exchange Server 2003, а служба Post Office Protocol версии 3 (POP3) не должна устанавливаться. NNTP требуется для установки, но потом се необходимо отключить, если не требуется работа newsgroup (групп новостей).
Если сервер работает под управлением ОС Windows Server 2003, то необходима установка Active Service Pages (ASP.NET). Ес необходимо включить с помощью консоли fnternet Information Services (IIS) Manager. Windows Server 2003 имеет Microsoft .NET Framework, встроенную в операционную сметем乂 то устанавливать ее нет необходимости.
Причуды установки
Некоторые люди, успешно установившие Exchange Server 2003 на рядовые серверы Windows 2000 Server, затрудняются установить его на рядовые серверы Windows Server 2003. Ввиду того, что на момент выхода Windows 2000 Server еще не существовали ASRNET н .NET Framework» Exchange Server 2003 устанавливает их автоматически в ходе процесса установки на рядовой сервер Windows 2000 Server. Однако при установке Exchange на рядовой сервер Windows Server 2003 ASP NET не устанавливается. Необходимо вручную установить ASBNET с помощью значка Add/Remove Programs (Установка и удаление программ) R панели управления и включить ее с помошью Диспетчера IIS (IIS Manager). Это сильно смущает людей, которым при установке Exchange на более новую систему приходится выполнять дополнительные операции.
Требуется доступ к AD. Обратите внимание, что это вовсе не значит, что Exchange Server 2003 необходимо устанавливать на контроллер домена; фактически, это очень неразумно в производственной сети. Однако выбираемый сервер должен быть рядовым сервером н домене AD, либо в Windows 2000, либо в Windows 2003. Exchange Server 2003 требует DNS, н。это реалшует AD. Следовательно, доступность AD означает л доступность службы DNS,
Требования к разрешениям
При установке в лесу первого сервера Exchange Server 2003, а, следовательно, н создании организации Exchange Server 2003 необходимо запустить утилиту ForestPrep. Выполнение ForestPrep может занять некоторое время (1 час и более).
Требуется выполнить Domain Prep в корневом домене леса, на всех доменах, содержащих рядовые серверы Exchange Server 2003, и на всех доменах, содержащих объекты обеспечения почтовых яшиков Exchange Server 2003. Большинство администраторов помнят, что необходимо запустить Domain Prep на дочерних доменах лесов, но легко забывают о том, что эту утилиту необходимо запустить на корневом домене леса сразу после запуска ForestPrep.
Для запуска Forest Prep в первый раз в лесу необходимо быть членом групп Schema Admins (Администраторы схемы) и Enterprise Admins (Администраторы предприятия). Учетная запись Administrator (Администратор) на первом домене первого дерева леса по умолчанию входит в обе эти группы, но лучше использовать эту учетную запись как можно реже. Если вам снова надо запустить Forest Preру то для этого понадобятся разрешения Exchange Full Administrator (Полный администратор Exchange) на организационном уровне Exchange. Тот же уровень разрешений также требуется для установки первого сервера Exchange Server 2003 в домене или установки сервера Exchange Server 2003 с включенной службой Site Replication Service (SRS). Для установки в домене дополнительных служб необходимо иметь разрешения Exchange Full Administrator (Полн垃R администратор Exchange) на уровне административной группы. Для запуска DomainРгер необходимо быть членом в группе Domain Admins (Адм и н и страто р ы домена) целевого домена. Если у вас нет достаточных полномочий, установку произвести не удастся.
Внимание! Имеется соблазн выполнить все установки с использованием наивысшего уровня разрешений, обычно с помощью учетной записи Adminlstraior (Администратор) корневого домена леса. Удержитесь от этого! Такие действия нсбезопасньк Кроме того, если вы не знакомы с более низкими уровнями разрешений» требуемых для выполнения этих задам, то столкнетесь с трудностями при делегировании некоторых задач*
Удаление Exchange Server 2003 Server
Мастер установки Exchange Server 2003 также используется и для удаления сервера Exchange Server 2003 из организации Exchange Server 2003, Для удаления требуется тот же уровень полномочий, что и при установке. Однако при удалении сервера может возникнуть ряд проблем, которые необходимо разрешить. Например, мастер не удалит сервер до тех пор, пока вы не удалите или нс переместите все почтовые ящики этого сервера. В этом случае мастер остановится с сообщением об ошибке м вам необходимо сделать выбор:*
Можно переместить или удалить почтовые ящики.
Можно принудительно удалить сервер Exchange Server 2003 из организации.
Второй вариант приведет к потере всех данных, содержащихся в общедоступных хранилищах и почтовых яшиках сервера. Этот вариант осуществляется с помощью Exchange System Manager (Диспетчер системы Exchange), с последующим выключением сервера, иначе появятся ошибки. Предполагается, что удаляемый сервер не является единственной машиной, на которой установлен Exchange System Manager (Диспетчер системы Exchange). (Это было бы очень неразумным подходом.)
Принудительное удаление сервера Exchange Server 2003 более подробно рассмотрено в главе 2 «Планирование инфраструктуры Microsoft Exchange Server 2003».
Устранение проблем связи
Еще одна причина отказа в установке заключается в том, что целевой сервер не подключен к службам, как вы полагали. Можно выполнить простую проверку доступности (например, «прозвонку* командой ping) контроллера домена и DNS-сервера либо вое-
пользоваться утилитой nslookup. Однако в каталоге Support/Tools установочного диска Windows Server 2003 имеются более мощные средства. Утилита netdiag предназначена для проверки возможности соединения по сети, а утилита dediag позволяет проверить и возможность связи, и работу DNS-разрсшения.
Диагностическая утилита netdiag, запускаемая из командной строки, используется для обнаружения сетевых проблем и проблем подключения за счет выполнения серии проверок для определения состояния вашего сервера. Это средство имеет несколько ключей, позволяющих указывать определенные проверки н исправлять простые ошибки. Но осноанос преимущество этого средства заключается в том, что его можно запускать без параметров или ключей. Вместо этого вы можете сконцентрироваться на анализе выходных данных, а не учить пользователей работать с этим средством.
Диагностическая утилита dediug, запускаемая из командной строки, анализирует состояние контроллеров домена в лесу и сообщает обо всех проблемах. Это мощное средство с большим числом ключей, которое предоставляет подробную информацию, позволяющую определить аномальное поведение системы. Это средство состоит из основы, выполняющей проверки, а также серии тестов, проверяющих различные сферы функционирования системы.
Устранение проблем миграции
Более подробно миграция рассматривалась в главе 5 «Миграция с Microsoft Exchange Server и других почтовых систем». Миграция рассчитывалась как простой процесс с возможностью «отката» в случае проблем. Проблемы, а, следовательно, и требование устранения проблем, в основном связаны с переносом почтовых ящиков пользователей. В Exchange 2000 Server, так же как в Exchange Server 2003, между учетными записями пользователей и почтовыми яшиками существуют отношения один-к-одному. Однако Exchange Server 5*5 поддерживает собственный каталог, независимо от Windows, и отдельная учетная запись Windows-пользователя может быть связана с несколькими почтовыми ящиками Exchange Server 5.5. Это может вызвать проблемы при миграции с Exchange Server 5.5 на Exchange Server 2003.
Подготовка к экзамену Помните, что мастер миграции и друп<е средства миграции перемешают почтовые ящики из одной организации в другую. Для перемещения почтовых ящиков внутри одной организации необходимо использовать консоль Active Directory Users And Computers (Active Directory — пользователи и компьютеры).
В том случае, если Active Directory Connector (Коннектор Active Directory) не сможет найти соответствую ши й ящик для существующей учетной записи пользователя, будет создана новая отключенная учетная запись. Проблема этого метода заключается в том, что только что созданные учетные записи нмеют идентификаторы безопасности (security idcnliOer, SID), отличающиеся от используемых в исходной организации. В результате, они не имеют настроенных разрешений и не являются владельцами соответствующих почтовых ящиков. Для того чтобы обойти зту проблему, необходимо вручную включить каждую учетную запись, а затем предоставить разрешения в отношении 嘲ее駐 почтового ящика.
Предпочтительной является технология миграции с использованием инструмента Active Directory^ Migration 7Ьо/(Миграция в Active Directory), который можно найти в папке
\I3 86\ADMT установочного компакт-диска Windows Server 2003. Этот инструмент осуществляет миграцию SID-истории учетной записи пользователя, что позволяет учетным записям сохранять их разрешения после выполнения миграции. Однако и с использованием консоли Active Directory Migration Tool (Миграция в Active Directory) может возникнуть проблема. Если вы обнаружили, что пароли пользователей не перенесены, и в результате вам приходится устанавливать пароли вручную, то вы использовали старую версию консоли. Версия 2 на компакт-диске Windows Server 2003 может выполнять перенос паролей, а предыдущие версии — нет.
Примечание Документ README в том же каталоге CD достоин внимательного нзу- чения. Обратите особое внимание на раздел “Known Issues» (Известные проблемы), который содержит существенный объем информации об устранении неполадок*
Еще одной проблемой, которая может возникнуть при миграции ——это использование сетевых подключений. Если сервер Exchange Server 5.5 был настроен на подключение Internet Mail, то на сервере Exchange Server 2003 необходимо настроить виртуальный сервер SMTP и изменить Л/Х-запись (Mail Exchanger, MX) в DNS для указания на новый сервер. При распространении этой информации по Интернету произойдет нарушение в доставке Интернет-почты. Это неизбежно, и переключение должно выполняться во время минимальной загрузкн сервера. Если переключения не произвести, то организация Exchange Server 2003 продолжит использование подключения Internet Mail, В этом случае, при снятии с использования сервера Exchange Server 5.5, это никак не повлияет на электронную почту внутренней сети, но вся Интернет-почта остановится. Временным вариантом решения является включение сервера обратно в сеть Exchange Server 5, но как только появится возможность, необходимо переключиться на виртуальный сервер SMTP.
Устранение проблем взаимодействия
Когда организация Exchange Server 2003 взаимодействует с другими системами электронной почты, проблемы могут касаться несовмсстимости форматирования или использования характерных для Exchange функций, таких как летоисчисления. Например, Exchange Server 2003 отправляет сообщения через коннектор Х.400 в сродном» формате Exchange. Это сработает, если система на приемном конце также использует Exchange, но если системой назначения будет, например, UNIX, то сообщение будет искажено. Решение этой проблемы заключается в сбросе параметра .Allow Exchange Contents (Разрешить содержимое Exchange) для коннектора Х.400 н разрешении использования стандартного форматирования Х.400.
Иногда подключение Х.400 является решением, а не проблемой. По умолчанию группы маршрутизации Exchange Server 2003 подключены через коннекторы маршрутизации (routing connectors). Однако если подключение ненадежное или непостоянное (напрнмер, устанавливаемое по требованию (demand-dial connection)), то надежность передачи может быть увеличена за счет использования коннектора Х.400, которое использует передачу данных, ориенти ров а иную на сообщения (message-based data transfer) ф а не на вызов удаленной процедуры (remote procedure call RPC).
Также необходимо обратить внимание на указание форматов кодировки для POP3- и IMAP4-KJ1 нснтов (Internet Message Protocol version 4, IMAP4) на соответствующих виртуальных серверах. Этот вопрос рассматривался в главе 9 «Виртуальные серверы». Если клиенты используют UNIX-UNIX кодировку (uuencode), то виртуальные серверы должны быть настроены соответственно. Для Macinlosh-оиентов необходимо указать uuencode, а затем выбрать BinHex for Macintosh (BinHex для Macintosh).
Пользователи Microsoft Outlook стремятся использовать имеющийся календарь (он является встроенной функцией Outlook). Однако свойства Calendar Connector (Коннектор календаря) не имеют по умолчанию настройки на синхронизацию календарных данных. Следовательно, когда пользователи Outlook пытаются проверить графики (расписания) пользователей «чужих» систем, напрнмер Lotus Notes, информация может оказаться несвоевременной.
Лабораторная работа. Использование утилит Netdiag и Dcdiag
Утилита командной строки netdiag проверяет возможность подключения к сети. Это средство позволяет указывать ряд дополнительных параметров, таких как /test: для запуска определенного теста и /d: для указания домена. Однако обычно запускается либо без параметров, либо с ключом /fix для восстановления незначительных ошибок, либо с ключом /debug для вывода подробного отчета. Выходные данные этой утилиты средства для последующего анализа могут перенаправляться в текстовый файл.
Утилита командной строки dcdiag в основном предназначена для проверки функционирования контроллера домена, но она также проверяет доступность DNS* Если имеются проблемы, связанные с доменом AD или DNS-сервсром, то Exchange Server 2003 устанавливаться не будет, a dcdiag поможет установить эту проблему. Утилита имеет много параметров, которые не являются обязательными. Ключ /s: используется для указания контроллера домена, ключ /и: — для указания пользователя (по имени пользователя и доменному имени), а клюп /р:——для указания пароля. Еслм не предоставить эти параметры, то утилита проверит узел, на котором запущена в контексте зарегистрированного пользователя. Ключ /fix исправляет S/W-нмена (Service Principal Names, SPN) на указанном контроллере домена, а ключ /test: позволяет указать определенные тесты. Все тесты, кроме De Prom о и RegisterfnDNS, должны запускаться на контроллере домена.
Примечание Подробности выполнения и параметры тестон netdiag м dcdiag можно найти в справочной системе Windows Server 2003+
В этой лабораторной работе вы создаете файлы в которые помешаются результаты тестов, запускаете neidiag на обычной системе и на отказавшей системе, сравниваете результаты, а затем делаете то же самое с утилитой dcdiag.
Упражнение 1. Создание файлов для результатов тестов
Для создания файлов, в которые будут помещаться результаты тестов, выполните следующие действия:
L На ServerO 1 создайте новый каталог с именем C:\Tests.
В каталоге C:\Tests создайте следующие пустые текстовые файлы:
о Neidiagl.txt.
口 Netdiag2.txt.
口 Dcdiagl.txt.
□ Dcdiag2.txt.
Примечание Некоторые администраторы не создают отдельные папки и файлы перед использованием утилит netdiag и ded/ng, поскольку они создают их автоматически, однако не все утилиты командной строки делают это. Разумней создать эти файлы до запуска утилит.
Упражнение 2. Использование Netdiag для проверки возможности подключения к сети
Для использования netdiag для проверки возможности подключения к сети на ServerOl выполните следующие действия:
На ServerO 1 откройте окно командной строки.
Введите netdiag /debug /fix > c:\tests\netdiag1. txt.
Откройте файл Netdiagl.txt с помощью Notepad (Блокнота).
Изучите результаты теста. С помощью функции поиска найдите «Errors*, «Warning» или ^Failed». Один из разделов теста представлен на рис, 14-1.
Рис. 14-1. Вывод данных Netdiag
Упражнение 3. Использование Netdiag для поиска
Для обеспечения сбоя подключения на ServerO 1 и использования netdiag для диагностики сбоя выполните следуюшие действия:
На ServerOl отключите разъем сетевого адаптера (Local Area Connection).
Откройте окно командной строкн.
Введите netdiag /debug /fix > c:\tests\netdiag2, txt»
5.5.Откройте Netdiag2.txt с помощью Notepad (Блокнота).
5.
5.
Изучите результаты теста. С помощью функции поиска найдите «Fatal*, Подобный раздел результатов теста представлен на рис. 14-2.
R netdttoZXNt - ^nttpulR netdttoZXNt - ^nttpuldevice： \t«EVI€：W*{UE口5QE5 • 5匚一44T%7-G*鸣豆*力3£6扌}device： \t«EVI€：W*{UE口5QE5 • 5匚一44T%7-G*鸣豆*力3£6扌}Media state:Media state:DisconnectedDisconnectedDevice state: connect Time: xedt* Spved:Device state: connect Time: xedt* Spved:connecieu1曲川，门：57:2810 Mopsconnecieu1曲川，门：57:2810 MopsPacfcets sent;Bytes sent (OptlaniVitPackers Rece+ved:Directed Pkt* Reed fcpt^onal^i:Pacfcets sent;Bytes sent (OptlaniVitPackers Rece+ved:Directed Pkt* Reed fcpt^onal^i:eyres fteceived (&pt Mortal0Direct kJ Bytes Recti (opt 1 anil): 0[warning] The net card 'Ifitel(R) QRQ/iM £ 口身，ktop Lapeer' may not be.working.eyres fteceived (&pt Mortal0Direct kJ Bytes Recti (opt 1 anil): 0[warning] The net card 'Ifitel(R) QRQ/iM £ 口身，ktop Lapeer' may not be.working.[fatal] - None of the netcard drivers provided satisfactory result!.[fatal] - None of the netcard drivers provided satisfactory result!.г here are ла net*a**fe cannacvtons on xhts machine, no network diagnostics win be 口电「formed.г here are ла net*a**fe cannacvtons on xhts machine, no network diagnostics win be 口电「formed.Рис. 14-2. Данные о фатальной ошибкеРис. 14-2. Данные о фатальной ошибкеПоместите на место сетевой разъем Local Area Connection. Проверьте подоючение, «прозвонив» Server02.Поместите на место сетевой разъем Local Area Connection. Проверьте подоючение, «прозвонив» Server02.Упражнение 4. Использование Dcdiag для проверки Server02Упражнение 4. Использование Dcdiag для проверки Server02В этом упражнении на ServerOl запускается dcdiag для проверки Server02, Если Server02 нс является контроллером домена в тестируемой сети, то вместо него проверьте ServerO 1. Для проверки ServerOl с помощью dcdiag выполните следующие действия:Откройте окно командной строки на ServerOl.Введите dcdiag /s:server02 /n:contoso,com /и:contoso.com\administrator /p: * /v / f:c:\tests\dcdiag1,txt /fix.Введите пароль администратора contoso.com. Результат представлен на рис. 14-3.В этом упражнении на ServerOl запускается dcdiag для проверки Server02, Если Server02 нс является контроллером домена в тестируемой сети, то вместо него проверьте ServerO 1. Для проверки ServerOl с помощью dcdiag выполните следующие действия:Откройте окно командной строки на ServerOl.Введите dcdiag /s:server02 /n:contoso,com /и:contoso.com\administrator /p: * /v / f:c:\tests\dcdiag1,txt /fix.Введите пароль администратора contoso.com. Результат представлен на рис. 14-3.11tm^tPr^i—」—…♦■■■■•■И^МЯ^C:\D0cunenta end l>ptt IngrsMilninj4twtnrx£ERUERHl>tItdlA9 ХвгаягчегИЙ /n：nnnt.uno«v; on /Miconto^o.cuMSAtlmiлulr*t«r /pi« Zu /f rti4t»&ts\Aaa£A^l.txt ，Г£кРл&&ман1：C：x0ocu№nt3 wd Eettin#4 4(l4n1inll*tr*ter.eERWEHi« >„11tm^tPr^i—」—…♦■■■■•■И^МЯ^C:\D0cunenta end l>ptt IngrsMilninj4twtnrx£ERUERHl>tItdlA9 ХвгаягчегИЙ /n：nnnt.uno«v; on /Miconto^o.cuMSAtlmiлulr*t«r /pi« Zu /f rti4t»&ts\Aaa£A^l.txt ，Г£кРл&&ман1：C：x0ocu№nt3 wd Eettin#4 4(l4n1inll*tr*ter.eERWEHi« >„ЫЫРис. 14-3. Запуск dcdiag в отношении SenerOlРис. 14-3. Запуск dcdiag в отношении SenerOl
R netdttoZXNt - ^nttpul
R netdttoZXNt - ^nttpul
device： \t«EVI€：W*{UE口5QE5 • 5匚一44T%7-G*鸣豆*力3£6扌}
device： \t«EVI€：W*{UE口5QE5 • 5匚一44T%7-G*鸣豆*力3£6扌}
Media state:
Media state:
Disconnected
Disconnected
Device state: connect Time: xedt* Spved:
Device state: connect Time: xedt* Spved:
connecieu
1曲川，门：57:28
10 Mops
connecieu
1曲川，门：57:28
10 Mops
Pacfcets sent;
Bytes sent (OptlaniVit
Packers Rece+ved:
Directed Pkt* Reed fcpt^onal^i:
Pacfcets sent;
Bytes sent (OptlaniVit
Packers Rece+ved:
Directed Pkt* Reed fcpt^onal^i:
eyres fteceived (&pt Mortal0
Direct kJ Bytes Recti (opt 1 anil): 0
[warning] The net card 'Ifitel(R) QRQ/iM £ 口身，ktop Lapeer' may not be.working.
eyres fteceived (&pt Mortal0
Direct kJ Bytes Recti (opt 1 anil): 0
[warning] The net card 'Ifitel(R) QRQ/iM £ 口身，ktop Lapeer' may not be.working.
[fatal] - None of the netcard drivers provided satisfactory result!.
[fatal] - None of the netcard drivers provided satisfactory result!.
г here are ла net*a**fe cannacvtons on xhts machine, no network diagnostics win be 口电「formed.
г here are ла net*a**fe cannacvtons on xhts machine, no network diagnostics win be 口电「formed.
Рис. 14-2. Данные о фатальной ошибке
Рис. 14-2. Данные о фатальной ошибке
Поместите на место сетевой разъем Local Area Connection. Проверьте подоючение, «прозвонив» Server02.
Поместите на место сетевой разъем Local Area Connection. Проверьте подоючение, «прозвонив» Server02.
Упражнение 4. Использование Dcdiag для проверки Server02
Упражнение 4. Использование Dcdiag для проверки Server02
В этом упражнении на ServerOl запускается dcdiag для проверки Server02, Если Server02 нс является контроллером домена в тестируемой сети, то вместо него проверьте ServerO 1. Для проверки ServerOl с помощью dcdiag выполните следующие действия:
Откройте окно командной строки на ServerOl.
Введите dcdiag /s:server02 /n:contoso,com /и:contoso.com\administrator /p: * /v / f:c:\tests\dcdiag1,txt /fix.
Введите пароль администратора contoso.com. Результат представлен на рис. 14-3.
В этом упражнении на ServerOl запускается dcdiag для проверки Server02, Если Server02 нс является контроллером домена в тестируемой сети, то вместо него проверьте ServerO 1. Для проверки ServerOl с помощью dcdiag выполните следующие действия:
Откройте окно командной строки на ServerOl.
Введите dcdiag /s:server02 /n:contoso,com /и:contoso.com\administrator /p: * /v / f:c:\tests\dcdiag1,txt /fix.
Введите пароль администратора contoso.com. Результат представлен на рис. 14-3.
11tm^tPr^i—」—…♦■■■■•■И^МЯ^
C:\D0cunenta end l>ptt IngrsMilninj4twtnrx£ERUERHl>tItdlA9 ХвгаягчегИЙ /n：nnnt.uno«v; on /Miconto^o.cuMSAtlmiлulr*t«r /pi« Zu /f rti4t»&ts\Aaa£A^l.txt ，Г£к
Рл&&ман1：
C：x0ocu№nt3 wd Eettin#4 4(l4n1inll*tr*ter.eERWEHi« >„
11tm^tPr^i—」—…♦■■■■•■И^МЯ^
C:\D0cunenta end l>ptt IngrsMilninj4twtnrx£ERUERHl>tItdlA9 ХвгаягчегИЙ /n：nnnt.uno«v; on /Miconto^o.cuMSAtlmiлulr*t«r /pi« Zu /f rti4t»&ts\Aaa£A^l.txt ，Г£к
Рл&&ман1：
C：x0ocu№nt3 wd Eettin#4 4(l4n1inll*tr*ter.eERWEHi« >„
Ы
Ы
Рис. 14-3. Запуск dcdiag в отношении SenerOl
Рис. 14-3. Запуск dcdiag в отношении SenerOl
qxqxОткройте в Блокноте файл Dcdiagl.txt и изучите результаты. Раздел теста представлен на рис. 14-4.
qx
qx
RdcdaattlJlMt ^ NotefMMi
Efe雙F产尸/
The d^sfinguTshed name pf the domain Is C<«conro5O,K*ccm,
Danaln Correro!1 er Diagnosis
Performing Inlrjal setup:
connecting to directory servlco ал ««ever server03.
Collecting sire Wo»
” Identifying ail servers.
idflnxlfying all NC crass-refs.
"Found 1 PC(S). Tuning 1 of them. Done gathering initial I Mg.
Going Initial required tesKs
TesT^ng server; Default-f 1 rst-site-»4Aflte\SERVEA()2
StartSmg test: СоплестIvlty
■ Active Directory loaf services check
• Active Directory R₽C services check
……………… …….SERVEfeU? parsed test Connect^vHy
Рис. 14-4. Результат выполнения теста dediag в отношении ServerOZ
Упражнение 5. Использование Dcdiag для обнаружения сбоя
на Server02
В этом упражнении вы приостанавлинаете работу службы DNS на Serveг02 и затем запускаете deding на Served) I в отношении Serveг02. Для обнаружения сбоя на Serveг02 с помощью dcdiag выполните следующие действия:
На Server02 откройте консоль DNS, шелкните правой кнопкой SERVER02, а затем щелкните Stop.
На Serveг01 откройте окно командной строки,
Введите dcdiag /s:server02 /п:contoso.com /и:contoso.com\adfflinistrator /р: * /v / f:c:\tests\dcdiag2.txt /fix.
Введите пароль администратора для contoso.com.
Откройте в Блокноте файл Dcdiag2.txt и изучите результаты. Соответствующий раздел результатов теста представлен на рис. 14-5.
Рис. 14-5. Предупреждение сбоя на Server02Рис. 14-5. Предупреждение сбоя на Server02
Рис. 14-5. Предупреждение сбоя на Server02
Рис. 14-5. Предупреждение сбоя на Server02
Запустите службу DNS на Server02.
Занятие 2. Устранение проблем серверов Exchange Server 2003
Производительность сериера Exchange Server 2003 определяется эффективностью общих процессов сервера, таких как функционирование памяти и процессора. Устранение проблем работоспособности сервера включает учет значений соответствующих счетчиков, зафиксированных в протоколе производительности при выполнении требуемых действий. Если имеется предположение, что отказ связан с необычно большим или маленьким значением счетчика, то дл* генерации сигнала тревоги можно установить пороги счетчиков.
Потеря даниых ——это очень серьезный вопрос в организации Exchange, поэтому в отношении хранилища данных необходимо выполнять профилактические действия, предотвращающие возможность аварии, В случае сбоя необходимо иметь уверенность, что процесс восстановления данных завершится успешно. Если ваши серверы составляют кластер, обеспечивающий сохранение работоспособности в случае отказа одного из серверов (failover), или NLB-кластср, то необходимо наготове иметь процедуры, гарантирующие верную работу кластеров и исправление любой неполадки до того, как она повлияет на пользователей.
Изучив материал этого занятия} вы сможете:
/ понимать протокол производитсльности сервера Windows Server 2003 и предпринимать соответствующие действия;
устранять неполадки хранилища данных и гарантировать обеспечение высокой производительности диска и защиту от сбоев (failover);
устранять неполадки кластеров серверов Exchange Server 2003;
устранять неполадки операций архивации и восстановления.
Продолжительность занятия — около 90 минут»
Устранение проблем работоспособности сервера
В главе 13 представлена информация по настройке протокола производительности и ди агности чес ко го протоколирования в порядке наблюдения за счетчиками и ресурсами сервера Exchange Server 2003. В ходе этого занятия вы изучите смысл полученных результатов и познакомитесь с действиями, предпринимаемыми в том случае, если эти результаты свидетельствуют о проблеме.
Кроме того, имеется возможность настроить генерацию сигналов тревоги в тех случаях, когда значения счетчиков превышают критические пределы. В Exchange Server 2003 существует множество счетчиков и экземпляров счетчиков. Ниже представлены наиболее часто используемые для диагностирования проблем общей работоспособности сервера (его «здоровья»):
Memory\Pages/sec (Памягъ\Обмен страниц в сек) Этот счетчик указывает скорость, с которой страницы считываются и записываются на диск, что позволяет разрешать отказы виртуальной памяти. Значения этого счегшка составляют сумму Memory\
Pages Input/sec (Памягь\3агружепо страниц в сек) л Memory\Pagcs Output/sec (Па- мят ь\Вы гружен о страниц в сек) и указывают тип отказов, которые ведут к задержке работы всей системы. Он включает извлечение страниц, что позволяет убедиться в ошибках в кэше файловой системы (обычно запрашиваемой приложениями) и не связанных с кэшем файлов отображенной памяти. Если значение счетчика со временем возрастает, это может указывать на то, что оперативная память становится «узким местом» системы. Он также указывает на приложения» создающие «утечку» памяти, т. е. использующие память при своей работе и не освобождающие ее при своем завершении. Обычно значение счетчика нс должно превышать пяти. Значение 20 н более указывает на наличие проблемы.
Process\% Processor Time (Процесс\% загруженности процессора) Это процент использования времени, которое процессор затрачивает на исполнение непустого потока. Этот счетчик ——основной индикатор деятельности процессора, выводящий усредненный процент загрузки за определенный интервал времени. Вполне допустимо достижение этим счетчиком пикового значения 100%, Однако лишь усредненное в течение длительного периода значение счетчика, превышающее 80% указывает на перегрузку процессора. Если у вас 5Л/Р-компьютер (symmetrical microprocessor, SMP), то каждый процессор наблюдается как экземпляр этого счетчика. Если об* наружится высокое обращение к одному процессору и низкое — к другому, то с помошью Task Manager (Диспет'юра задач) можно определить, какие процессы сильно нагружают первый процессор.
Process\% Processor Time (Процесс (хра1(илище)\% за1ружсниости процессора) Этот счетчик указывает процент времени использований, в течение которого все потоки процесса используют процессор для выполнения своих инструкций. Инструкция — это основная единица процесса выполнения в компьютере. Поток — это объект, выполняющий инструкции. Процесс ——это объект, создающийся при выполнении программы. Поскольку сервер Exchange Server 2003 (или любой сервер) создает множество процессов, существует множество экземпляров этого счетчика (например, хранилище). Экземпляры счетчика позволяют отслеживать ключевые процессы. Не существует «правильного» значения этого счетчика. Необходимо установить «базовую линию» нормального функционирования и сравнивать ее с текущими отсчетами. Если время процессора, используемое определенным процессом, со временем возрастает, то необходимо взвесить: является ли это проблемой процесса, либо это — нормальное поведение, указывающее, что в конечном итоге придется обновить процессор,
MSExchangeIS\RPC Requests (MSExchangeIS\3anpocoB RPC) Объект MS Exchange IS представляет службу, обеспечивающую доступ к хранилищу почтового ящика и обшедоступной папки. /fPC-запросы (Remote Procedure Call, RPC) — это количество клиентских запросов, обрабатываемых в настоящее время информационным хранилищем. RPC-протокол используется для передачи сообщений между компьютерами через подключения. Значение этого счетчика необходимо просматривать совместно со значением М SExchange I S\RPC Packets/sec (скорость, с которой обрабатываются RPC-пакеты) и MSExchangeIS\RPC Operations/sec (частота RPC-операиий), чтобы понять, сушествует ли здесь «узкое место* системы.
PhysicalDisk\Disk Transfers/sec (Физический диск\Обращений к диску/сек) Значение этого счетчика соответствует скорости операций запнен/чтення физического диска.
Физический диск может содержать несколько логических дисков или томов, И наоборот, если используют массивы дисков, то логический диск может содержать несколько физических дисков. Этот счетчик можно добавить в протокол производительности, но счетчик будет выдавать нулевое значение, пока не будет запущена утилита diskpeif. Не включайте «дисковые» счетчики при наличии проблем, требующих решения, и не включайте их иа длительный период. Вьючение этих счетчиков ведет к существенному снижению производительности сервера.
SMTP Server\Locaj Queue Length (Сервер 8МТР\Длина локальной очереди) Указывает количество сообщений в локальной очереди SMTP-сервера, Это же значение можно получить с помощью Queue Viewer, но протокол производительности позволяет просматривать отчет за длительный период времени и отслеживать тенденции. Рассматривать значения этого счетчика необходимо совместно со значениями счетчика SMTP Server\Mcssagcs Delivcred/sec (Сервер SМТР^Цоставлепо сообщений/сек), указывающего скорость, с которой сообщения доставляются в локальные почтовые ящики. Возможно накопление в очереди большого количества сообщений, но очередь обрабатывается со скоростью, достаточной, чтобы гарантировать быструю доставку сообшений. Кроме того, на такие счетчики, как SMTP Server\Badmailecl Messages (No Recipient) (Сервер SМТР\Сообщений в Badmail), можно назначить сигнал тревоги, чтобы получить предупреждение в случае доставки чрезмерно большого количества анонимной почты, что обычно указывает на спам-рассылку или DsS-атаку (Denial of Service, DoS).
MSExchangelS Mailbox\Local Delivery Rate (MSExchangelS Ма11Ьох\Локальная доставка) Это скорость доставки локальной почты. Счетчик объекта MSExchangelS Mailbox относится конкретно к почтовому яшику, а не к яшику и общедоступной папке. Еще вам могут понадобиться счетчики MSExchangelS Mailbox\Fbider Opens/ sec (MSExchangelS МаШюх\Обращений к папкам/сек)ф который измеряет скорость поступления в информационное хранилище запросов на открытие общедоступной папки, и MSExchangelS Mailbox\ Mes sage Opens/sec (MSExchangelS МаПЬох\Откры- то сообщений/сек), который измеряет скорость, с которой в информационное хранилище поступают запросы на открытие сообщений. Необходимо сравнивать значения этих счетчиков с «базовой линией^ производительности для определения наличия «узкого места» и отслеживания долговременных тсндсниий.
Устранение проблем хранилища данных
В главе 12 рассматривались различные Л4 /D-кон фи г>рац и и (redundant array of independent drives, RAID), которые могут использоваться для хранения баз данных и протоколов транзакций Exchange Server 2003. Восстановление состояния непосредственно на момент отказа возможно, если отключено циклическое протоколирование, а файлы транзакций хранятся не на том же диске (дисковом массиве), на котором хранятся БД. Также『口一 верилось, что правильно выбранная стратегия архивации может предотвратить переполнение диска протоколами транзакций.
За исключением RA1D-0, отказ одного диска в массиве не сразу становится очевидным. Имеется возможность генерации сигнала тревоги, если такой счетчик, как Physical\ Disk Transfers/sec (Физический диск\Обраще»ий к диску/сек), упадет в 0, но это повлечет необходимость включения «дисковых» счетчиков (и может быть основательной причиной включения этих счетчиков). Кроме того, можно настроить Monitoring And Status
(Наблюдение за состоянием) в Exchange System Manager (Диспетчер системы Exchange) на запись события в журнал приложений Eveni Viewer, если дисковое пространство в массиве сократится до размера, меньше чем установленный порог, а с помощью Notifications (Уведомления) в Monitoring And Status (Наблюдение за состоянием) можно настроить отправку предупреждения по электронной почте (либо другой способ оповещения, указанный в файле сценария) при возникновении такого события. С помощью этих средств вы будете предупреждены о нехватке емкости диска (массива), но не получите никакого сигнала при отказе диска в массиве, поскольку потеря одного «шпинделя» в массиве не сказывается на размере свободного дискового пространства.
Важно сразу узнать об отказе диска, поскольку после такого отказа массив перестает быть отказоустойчивым< При использовании RAID-5 потеря «шпинделя^ приведет к заметному снижению производительности; практически все будет работать медленнее. В массивах RA1D-1 и RA1D-0+1 снижение производительности чтения сразу не заметно, особенно н течение небольшого периода. Коммерческое программное обеспечение RAID-систсм может генерировать визуальное или звуковое оповещение отказа диска, м такую возможность необходимо принимать во внимание при выборе системы.
Политики хранилища почтового ящика и общедоступной папки
Имеется возможность создать политик* почтового ящика и общедоступной папки для любой административной группы, раскрыв в Exchange System Manager (Диспетчер системы Exchange) административную группу, щелкнув правой кнопкой System Policies (Системные политики), а затем указаэ либо новый почтовый ящик, либо хранилище общедоступной папки. Политики подробно рассматривались в главах 7 и 8, С точки зрения устранения неполадок, ограничение размера хранилищ почтового ящика и об* щедоступной папки, указание политики сохранения для удаленных писем и «неокончательное удаление^ почтовых яшиков до того, как хранилище не будет архивировано —это самые полезные компоненты этих политик. В главе 13 уже рассматривалось, как выполнять наблюдение за размерами почтовых ящиков и запускать процесс управления почтовыми ящиками.
Эти процедуры помогают устранить неполадки хранилища, поскольку проблемы могут возникать из-за слишком большого размера БД. Принудительное йвсдение ограничений почтового я шика может предотвратить подобные проблемы. Профилактическое устранение неполадок, т. е. предотвращение их появления, — это признак разумного администрирования.
Да у меня в ящике почти ничего нет!
Не все пользователи воспримут ограничение размера почтового я шика как хорошую профилактику отказов. Они будут уверять вас в том, что они регулярно читают и удаляют письма и загружают расширения на свой локальный диск. Необходимо объяснить, что, несмотря на удаление писем с объемными вложениями. они все равно остаются в почтовом ящике до момента архивации. Обратите внимание на подробности любых проблем, с которыми придется столкнуться пользователю при введении политик. Эта информация может оказаться весьма полезной, когда тот же пользователь попросит извлечь сообщение, которое он удалил шесть месяцев назад.
Устранение проблем кластеров
Когда узел кластера выключается и включается failover-процесс, тогда возникновение проблемы не всегда становится очевидным. Для проверки степени исправности кластеров необходимо ежедневно использовать Cluster Administrator (Админиcipaiop кластеров).
Одной из основных проблем использования кластеров является фрагментация виртуальной памяти. Необходимо наблюдать за представленными ниже счетчиками памяти на каждом узле в кластере, чтобы определить, когда виртуальный сервер Exchange необходимо перезагрузить из-за его фрагментации:
MSExchangeIS\V Largest Block Size Когда значение этого счетчика падает ниже 32 Мб, Exchange Server 2003 помешает предупреждение в журнал приложений Event Viewer (Event ID=9582), При значении менее 16 Мб в протоколе фиксируется ошибка.
MSExchangelS\VM Total 16MB Free Blocks Необходимо следить за тенденцией этого счетчика для прогнозирования, когда количество 16 Мб блоков может приблизиться к трем. Когда их количество станет менее трех, необходимо перезапустить все службы этого узла.
MSExchangelSXVTVI Total Frec Blocks Этот счетчик позволяет вам вычислить степень фрагментаиии доступной виртуальной памяти. Чем меньше средний размер блока, тем выше фрагментация* Вам также понадобится значение, возвращаемое «храни- лищным* экземпляром счетчика Process\Virtual bytes. Средний размер блока — это значение Process (store)\Virtual Bytes, поделенное на значение MSExchangeIS\VM Total Free Blocks.
MSExclmngeIS\VM Total Large Free Block Bylcs Если значение этого счетчика упадет ниже 32 Мб на любo^f узле кластера, то необходимо принудительно запустить failover-процесс на виртуальных серверах Exchange, перезагрузить все серверы Exchange этого узла (или перезагрузить сервер)* а затем принудительно запустить tailback-процесс на виртуальных серверах Exchange.
Устранение проблем архивации и восстановления
Как уже рассматривалось в главе 12, при архивации в оперативном режиме для проверки повреждения файла вычисляется его контрольная сумма и в случае ее несоответствия в журнал приложений Event Viewer заносится соответствующее событие. Кроме того, генерируется протокол архивации. Таким образом, если архивация прошла без ошибок, имеется большая степень уверенности, что данные архивированы верно.
Иногда возникает необходимость выполнить архивацию в автономном режиме: либо архивация в оперативном режиме завершилась неудачей, либо используется программа архивации стороннего производителя, не поддерживающая архивацию в оперативном режиме. В этом случае для проверки архивируемой копии необходимо использовать запускаемую из командной строки утилиту eseutil с ключом /к.
Вне зависимости от того, насколько вы уверены в архивации, выполненной в оперативном режиме, разумно выполнить пробное восстановление. Это восстановление можно выполнить на сервере восстановления, который также используется для восстановления удаленных почтовых ящиков после того, как истек их срок сохранения в ЕД,
Сервер восстановления должен находиться в отдельном лесу. Восстановление также можно выполнить на тот же сервер или на сервер в той же организационной группе, за счет использования группы хранения восстановления.
Группа хранения восстановления
Группа хранения восстановления — это специальная группа, которая может существовать рядом с обычными группами хранения на сервере Exchange Server 2003 (даже если сервер уже имеет четыре нормальных группы хранения). Вы можете восстанавливать хранилища почтовых яшиков из любой нормальной группы хранения Exchange Server 2003 в группу восстановления. После этого можно, если это целесообразно, использовать утилиту ex merge, запускаемую из командной строки, для перемещения данных восстановленного почтового ящика из группы восстановления в обычную группу хранения.
Группы хранения восстановления позволяют выполнять восстановление без перезаписи данных в уже архивированные хранилища. Это важно в том случае, когда имеются подозрения в наличии проблем с архивами, и вы не хотите рисковать, выполняя перезапись текущих данных поврежденными данными из архиаа. Кроме того, можно восстановить хранилище почтового ящика целиком (всю информационную БД, включая данные протоколов) либо отдельный почтовый ящик.
Если вы полностью уверены в надежности архивации и восстановления, то архив становится средством устранения неполадок, а нс источником проблем. Вы можете восстановить архив последней полной архивации, а потом или последней дифференциальной архивации, или серию архивов добавочной архивации. После чего можно повторно воспроизвести протоколы транзакций, хранимые на отдельном диске, что позволит восстановить данные вплоть до момента отказа.
Лабораторная работа. Настройка сигналов тревоги
В ходе этой лабораторной работы вы настроите сигнал тревоги (оповещение), генерируемый в том случае, когда в очереди на отправку с почтового ящика н口 ServerOl накопится 20 и более сообщений. Для нашей учебной сети это — произвольное значение. В производственной сети необходимо изучить протокол производительности и Queue Viewer для создания 或базовой линии» для нормального и нагруженного периода. Коли* нество сообщений в очереди, которую вы выберете для запуска оповещения, должно быть больше, чем наивысшее ожидаемое количество в нагруженный период, что собственно и будет указывать на отказ в среде обмена сообщениями.
Упражнение 1. Настройка сигнала тревоги очереди
Для настройки сигнала тревоги очереди выполните следующие действия:
На ServerO 1 откройте консоль Performance (Производительность).
Разверните Performance Logs And Alerts (Журналы и оповещения производительности), щелкните правой кнопкой Alerts (Оповещения), а затем щелкните New Alert Settings (Новые параметры оповещений),
В окне New Alert Settings (Новые параметры оповещений) в поле Name (Название) введите Send Queue Alert, а затем щелкните ОК.
На вкладке General (Общие) диалогового окна Send Queue Alert введите Ак门 if 20 messages, а затем щелкните Add (Добавить).
В диалоговом окне Add Counters (Добавление счетчиков) в раскрывающемся списке Performance Counters (Счетчики производительности) выберите MS Exchange IS Mailbox. В поле Select Counters From List (Выбор счетчиков из списка) выберите Send Queue Size (Размер очереди отправки) (обычно выделено по умолчанию), а в поле Select Instances From List (Выбор экземпляра счетчика) выберите First Storage Group — Mailbox Store (SERVER01) (рис. 14-6).
Рис. 14-6. Выбор объекта, счетчика и экземпляра счетчика производительности
Примечание Возможность выбрать экземпляр появляется потому, что главе 12 вы уже создали хранилище Му Storage Group — Му Mailbox Store. Если вы этого не сделали м возможности выбора нет, то по умолчанию мониторинг будет выполняться в отношении First Storage Group - Mailbox Store (SERVER01).
Щелкните Add (Добавить) для добавления счетчика, а затем щелкните Close (Закрыть).
В поле Alert When Vilue Is (Оповещать, когда значение) выберите Over (Больше).
В поле Limit (Порог) введите 20.
Убедитесь, что в качестве интервала отсчетов установлено значение по умолчанию, равное 5 секундам. Настройки сигнала тревоги представлены на рис. 14-7.
Send Queue Alert
jJjJjJjJGeneral | Action | Schedule J
jJjJ
jJjJ
Th# ateH tcan begt irrrfedtately after you apply change*,
СодтвШ:
lAiert <120 m«««ee~
\XSERVER01%M$E*change1S Ма<ю 轉 FiHt&c^ge.Group~Ma® 做 S*P<P
*1I2J
Alert, when the ^аЮе h: [Ovet山 5祀
A4d“ [ Нотюус [
Sample cWaevwy:
RunAf |<Defauk>£哥4呼吧小“]RunAf |<Defauk>£哥4呼吧小“]Рис. 14-7. Настройка сигнала тревоги на очередь отправкиРис. 14-7. Настройка сигнала тревоги на очередь отправкиjhtervat J 一「- 斗 Units： |$econ(fe ‘‘
RunAf |<Defauk>£哥4呼吧小“]
RunAf |<Defauk>£哥4呼吧小“]
Рис. 14-7. Настройка сигнала тревоги на очередь отправки
Рис. 14-7. Настройка сигнала тревоги на очередь отправки
На вкладке Action (Действие) выберите Send A Network Message Td (Отправить сообщен ке) и введите Administrator в соответствуюшее поле.
Примечание Это приведет к отправке сетевого сообщения на любой компьютер (предполагается, что он использует операционную систему Windows NX Windows 2000, Windows Server 2003 и/ш Windows XP и на нем включена служба обработки сообщений), на который вы можете войти с использованием учетной записи Administrator (Администратор), Возможно, вы решите отправлять сообщения на учетную запись рядового пользователя, которую создали длн себя в соответствии с принципом наименьшего уровня привилегий. В производственной сети вы должны пользоваться учетной записью Administrator (Администратор) как можно реже. Учтите также, что по умолчанию события фиксируются в журнале приложений Event Viewer, при запуске сигнала тревоги вы можете запустить протокол производительности или запустить любой исполняемый файл. Этот файл может отправить вам электронное сообщение либо при наличии соответствующей технологии запустить звуковой сигнал.
Щелкните ОК.
В консоли Performance (Производительность) щелкните Alerts (Оповещения). В панели деталей щелкните правой кнопкой сигнал тревоги и подтвердите его запуск (кнопка Start (Запуск) становится недоступной).
Внимание! Запуск функции о повешен и я можно определить по зеленому цвету записи, но это нс совсем безошибочный метод. Только что созданный сигнал оповещения может быть запушен, но представлен красным цветом до первого щелчка на нем. Кроме того, люди, страдающие дальтонизмом, могут перепутать красный и зеленый цвет.
Занятие 3. Устранение проблем организации Exchange Server 2003
В то время, как некоторые сбои ограничиваются конкретным сервером Exchange Server 2003, другие сбои влияют на всю организацию Exchange Server 2003. Проблемы с общедоступными папками влияют на всех пользователей организации, как и проблемы виртуальных серверов. При использовании структуры «интерфейсная часть/серверная частью (back-end/front-end), легко допустить ошибку в настройке параметров. Также необходимо убедиться, что интерфейсные серверы и серверы хранения БД связываются друг с другом через брандмауэр. Проблемы связи могут мешать Exchange Server 2003 обращаться к AD и DNS, что повлияет на работу всей организации.
Изучив материал этого занятия, вы сможете:
/ описать проблемы, которые могут случиться с общедоступными папками и ограничить возможность создания общедоступных папок высшего уровня указанными пользователями или их группами;
/ объяснить, как диагностическое протоколирование и ведение журналов протоколов могут помочь в устранении проблем виртуальных серверов;
/ описать проблемы, связанные с настройкой структуры «интерфейсная часть/серверная часть»;
/ перечислить средства, которые могут использоваться для устранения проблем установления связи с организацией Exchange Server 2003.
Продолжительность занятия - около 45 минут.
Устранение проблем общедоступных папок
Общедоступные папки могуг содержать внутреннюю информацию компании и использоваться в ходе совместных проектов с партнерскими организациями, а также предоставлять сведения о вашей компании внешним пользователям. Следовательно, проблемы общедоступных папок посягают на имидж представляемой вами организации в глазах своих сотрудников, организаций-партнеров и но всем мире. Любые проблемы, оказывающие воздействие на общедоступные папки, должны устраняться незамедлительно.
Ряд проблем, связанных с общедоступными папками, может возникнуть ввиду ограничений, налагаемых созданными вами политиками обшедоступных хранилищ. Имеется здравый смысл в ограничении размера общедоступных папок и размера отдельного элемента в любой папке. Однако надо быть предусмотрительно осторожным в удалении любых неиспользуемых элементов* Пользователи, которые отправляют элементы в общедоступную папку, получат предупреждение или запрет на запись в качестве ошибки. Кроме того, это негативно отразится на организации, если часть содержания общедоступной папки окажется неуместной или неактуальной. Можно делегировать задачу проверки удаления устаревших элементов. Фактически, лучше так н сделать. Как администратор, вы не должны судить, могут ли быть удалены письма, отправленные, например, отделом кадров. Однако вам необходимо внимательно следить за размером папки.
Если имеется специально выделенный сервер абщедоступньтх папок, то задача восстановления этих папок может привести к появлению сообщений о сбое, поскольку для восстановления общедоступного хранилища его необходимо сначала размонтировать* Иногда это неизбежно, например при повреждении данных в хранилище общедоступных папок, В этом случае необходимо выполнить пробное восстановление общедоступных лапок на сервере восстановления.
Еще одним источником ошибок является наличие общедоступной папки, к которой должно быть обеспечено обращение по электронной почте. По умолчанию обшедоступ- ныс папки недоступны по электронной почте, и эту функцию надо включать отдельно. Эта процедура рассмотрена в лабораторной работе главы 8,
Однако основным источником ошибок общедоступных папок являются неверно настроенные разрешения. Если, например, вы разрешите слишком большому числу пользователей создавать папки высшего уровня, то дерево папок станет слишком большим, неупорядоченным и сложным для обзора и обслуживания. Вы можете управлять разрешениями на создание папок высшего уровня, щелкнув правой кнопкой на Exchange- организации в Exchange System Manager и предоставив разрешения только отдельным лицами или группам пользователей. На рис. 14-8 видно, что разрешение Create Top Level Public Folder (Создание общих папок верхнего уровня) предоставлено пользователю Don HalL
Еще одна распространенная проблема разрешений возникает в том случае, когда пользователям, обладающим разрешением «только чтения» элементов общедоступной папки, п ред о ста вл яется разрешение на запись и удаление элементов. В общем случае, пользователи должны иметь только разрешение на чтение элементов папки, а разрешение на запись и удаление должно предоставляться только в исключительных случаях. Нс забывайте также, что разрешения, имеющиеся в отношении папки высшего уровня, по умолчанию распространяются на папки более низкого уровня. Если разрешения изменяются на неверном уровне, то могут возникать ошибки.
TailSpinToys Propertie»
General ] Details Security |
Qroup a use, name*:
0 AdministJiStor 口网1S円n[0¥53£1m1面|?城口4
fil ANONYMOUS LOGON
'陋 Authenticaiied Ueeu
如 Domain АЛтнт (TAILSPINT ОУЗЮсмпа h Annins]
兽 Don Hal (d.haB@TailSpirtTo^.mmj
B®m©ve'B®m©ve'Peio«!3<x«s lor Don HdlAllowWrite propatiesDelete treeLttl object□eate public folderI Deate lop level public lotdet Modify pubfic lokfet admmACLFor 中e血 ретказют or к» advanced sewings., dick AdvancedPeio«!3<x«s lor Don HdlAllowWrite propatiesDelete treeLttl object□eate public folderI Deate lop level public lotdet Modify pubfic lokfet admmACLFor 中e血 ретказют or к» advanced sewings., dick AdvancedDenyDeny□ □□□□□□ □□□Ba□ □□□□□□ □□□BaAdvanced ]Advanced ]
B®m©ve'
B®m©ve'
Peio«!3<x«s lor Don HdlAllow
Write propaties
Delete tree
Lttl object
□eate public folder
I Deate lop level public lotdet Modify pubfic lokfet admmACL
For 中e血 ретказют or к» advanced sewings., dick Advanced
Peio«!3<x«s lor Don HdlAllow
Write propaties
Delete tree
Lttl object
□eate public folder
I Deate lop level public lotdet Modify pubfic lokfet admmACL
For 中e血 ретказют or к» advanced sewings., dick Advanced
Deny
Deny
□ □□□□□□ □□□Ba
□ □□□□□□ □□□Ba
Advanced ]
Advanced ]
□К I CancL I 段帥
Рис. 14-8. Предоставление разрешения Create Top Level Public Folder
Устранение проблем виртуальных серверов
В главах 9 и 13 уже рассматривались технологии, используемые для управления виртуальными серверами и мониторинга их производительности. Ведение журналов протоколов является мошным методом записи всех подробностей каждого события, происходящего на каждом виртуальном сервере. Если, напрнмер, в журнале SMTP-протокола виртуального сервера имеется запись SIZE хгхгнхх, то письмо отклонено из-за превышения размера. Диагностическое протоколированис настраивается с помощью Exchange System Manager (Диспетчер системы Exchange) (за исключением виртуального HTTP-сервера (Hypertext Transport Protocol, HTTP) и веб-сайта, связанного с этим виртуальным сервером, настройка диагностического прото кол и рован ия которых выполняется с помошью Диспетчера 〃S (HS Manager)).
Диагностическое протоколирование
Диагностическое протоколирование может способствовать устранению неполадок, как виртуальных серверов, так и общей работоспособности сервера Exchange Server 2003, а также всей организации Exchange Server 2003. Имеется возможность настроить уровень диагностического протоколирования следующих служб:
IMAP4SVC Эта служба позволяет пользователям обращаться к почтовым ящикам и обтедоступному хранилищу с помощью протокола 1МАР4. Подробное протоколирование помогает найти ошибки в работе виртуальных серверов 1МАР4.
MSADC Если установлен Active Directory Connector (Коннектор Active Directory), то эта служба запускает соглашения подключения (connection agreements).
MSExchangeAL Эта служба позволяет пользователям адресовать электронную почту при помоши списков адресов.
MSExchangeDSAccess Эта служба обеспечивает доступ Exchange к AD.
MSExchangelS Эта служба позволяет обращаться к Information Store (Информационному хранилищу).
MSExchangeMTA Эта служба позволяет коннекторам Х.400 обращаться к МТА~ агенту (message transfer agent, МТА).
MSExchangeMU Эта служба реплицирует изменения конфигурационной информации Exchange в метабазу 11S,
MS Exchanges А Этот счетчик фиксирует момент, когда Exchange использует AD для хранения и совместного использования сведений о каталогах.
MSExchangeSRS Этот счетчик фиксирует момент, всякий раз когда для репликации компьютеров Exchange 2000 Server (и выше) с компьютерами Exchange Server 5.5 используются службы Site Replication Services.
MSExchangeTransport Этот счетчик фиксирует момент, всякий раз когда для маршрутизации сообщений используется SMTP. Настройка уровня диагностического протоколирования может способствовать устранению проблем виртуальных серверов SMTP.
POP3 SVC Этот счетчик фиксирует момент, всякий раз когда для обращения к электронной почте используется протокол POP3. Настройка уровня диагностического протоколирования может способствовать устранению проблем виртуальных серверов POP3,
Кодировка и трансляция
Если указаны неверные методы кодировки, в виртуальных серверах IMAP4 и POP3 могут возникать ошибки. Зачастую эта проблема решается созданием дополнительного виртуального сервера н предоставлением доступа группе клиентов с определенными требованиями к кодировке. Если лишь несколько клиентов имеют требования, отличающиеся от большинства, то настройки клиента лучше проводить персонально. Этот вопрос рассматривался в главе 9.
Открытая ретрансляция также может вызывать проблемы виртуальных SMTP-серверов. По умолчанию, ретрансляция отключена, но клиентам 1МАР4 и POP3 эта функция нужна, также как и возможность использовать SMTP для отправки электронной почты. Ретрансляция может быть включена для отдельных клиентов, но лучше создать дополнительный виртуальный SMTP-сервер, разрешающий ретрансляцию н обеспечивающий доступ только POP3 и 1МАР4 клиентам. Этот вопрос рассматривался в главе 9.
Устранение проблем Front-End и Back-End серверов
В структуре интерфейсная часть/серверная часть (Ьаск-end/front-end) имеется несколько преимуществ. Front-end-серверы не содержат почтовых ящиков и могут быть расположены за пределами основного брандмауэра. Back-end-серверы могут использовать службу кластеров Microsoft Cluster Service для failover-защиты, в то время как front-end- серверы для повышения производительности могут использовать службу Network Load Balancing. Использование front-end-cepверов означает, что обращение к почтовым ящи-
кам возможно с помощью отдельного URL (Uniform Resource Locatoi; URL), вне зависимости, на котором back-end-сервере они находятся. Вы можете перемещать почтовые ящики с одного back-end-сервера на другой, незаметно для конечного пользователя*
Однако преимущества такой конфигурации имеют и свои проблемы. Front-end- серверы должны иметь возможность связываться с back-end-серверами через брандмауэр, не компрометируя ни безопасность, и и удобство пользования. Кластеры с выравниванием нагрузки не подходят на роль back-end-серверов, также как и Windows-кластеры —в качестве 『「0п1-еп4-серверов. Неверно сконфигурированная кластеризация может привести к проблемам. Сбой хранилища почтового ящика или виртуального сервера на back-end-сервере может выглядеть как сбой front-end-сервера, поэтому важно отслеживать сообщения и находить источник возникновения сбоя.
Для обработки front-end-запросов необходимо на каждом back-end-сервере создать виртуальный HTTP-сервер. Отказ любого из этих серверов может привести к тому, что клиенты Outlook 伙力 Access (0WA) не смогут принимать или отправлять электронную почту из вашего домена.
Что касается этих причин, то при использовании конфигурации back-end/front-end технологии устранения неполадок связи через брандмауэр, использования Cluster Administrator и использование таких технологий поиска и устранения неполадок виртуальных серверов, как ведение журналов протоколов, становятся еще более важными. Вот проблемы, которые возникают при использовании этой конфигурации:
Неверная аутентификация Реализация настроек аутентификаиии (проверки полномочий) зависит от роли сервера. На front-cnd-ссрверах виртуальные серверы IMAP4 и POP3 используют базовую аутентификацию, и это изменить невозможно. На виртуальных серверах POP3 я IMAP4, расположенных на back-end-cepnepax, можно выбрать либо базовую апентификанию, либо Integrated Windows Authentication. Integrated Windows Authentication не может указываться на front-end виртуальных HTTP-серверах. Поскольку метод аутентификации изменяется в зависимости от типа сервера (имеются достаточные основания), иногда довольно сложно добиться настроек, удоалетворяющих требуемым целям, и легко неверно настроить аутенти- (|)икацию.
При загрузке пользователем сообщений происходит разъединение На back-end-cep- верах настройки тайм-аута соединения ограничивают длительность времени, когда клиенту разрешено оставаться подключенным к серверу без выполнения каких- либо действий. На front-end-серверах настройки тайм-аута соединения ограничивают общую длительность сеанса клиента, независимо от активности клиента. Наиболее распространенная ошибка конфигурации — установка значений тайм-аута соединения на back-end-серверах, таких же, как и на front-end-серверах. Необходимо установить эти настройки на front-end-серверах такими, чтобы пользователи могли загрузить сообшение максимально разрешенного размера на самой маленькой поддерживаемой скорости без разрыва соединения.
Настройки календарей на виртуальных серверах POP3 и IMAP4 на front-end-сервере игнорируются Exchange Server 2003 нс распознает любые URL-настройки, выполненные на вкладке Calendaring (Калекдарь) виртуальных серверов IMAP4 и POP3, располагающихся на front-end-серверах, если только вы нс настроили соответствующие виртуальные серверы на back-end-серверах для использования настроек front- end-сервсра.
Устранение проблем связи
Поскольку проблемы связи могут помешать установке Exchange Server 2003, утилита netdiag рассматривалась на занятии 1 этой главы. Помимо netdiag д,чя проверки связи с контроллерами домена, DNS-ссрверами, другими серверами Exchange Server 2003, IIS-серверами и прочими значимыми узлами сети, можно использовать утилиту ping («прозвонка»). Если имеется возможность «прозвонить» узел по IP-адресу а не ло имени узла, то это свидетельствуст о проблеме разрешения имен н, вероятно, службы DNS.
Утилита telnet может использоваться для проверки, может ли быть открыт ТСР-порт (например, 25 для SMTP) на получающем узле и отвечает ли получающий узе』. Telnet полезен для проверки связи через брандмауэр, который блокирует ICMP-протокол (Internet Control and Messaging Protocol, ICMP), на котором основана работа утм- литы ping.
С помощью команды nslookup можно «попросить* DNS подтвердить, что служба DNS работает нормально и что имеются ИХ- и A (host)-3anncii для конкретного сервера Exchange Server 2003 либо для всех таких серверов в домене. Например, с помощью команды nslookup -querytype=mx tailspintoys.com можно получить все MX-записи для домена taiispintoys.сот.
Лабораторная работа. Ограничение разрешений записи и удаления в отношении общедоступных папок
В вашей организации только группе старших руководителе甘，в которую входят пользователи Sean Alexander, Don Hall м Kim Akers, разрешено размешать информацию в общедоступных папках. Только Don Hall разрешено удалять файлы из обшедоступных папок. В административных целях полный контроль предоставлен только группе адмИ' нистраторов домена. Все остальные пользователи имеют только разрешения чтения. В этой лабораторной работе устанавливаются эти разрешения.
Упражнение 1. Создание группы безопасности
Упражнение предполагает, что существуют учетные записи с возможностью использования почты для Kim Akers, Don Hall и Sean Alexander. Эти учетные записи были созданы в главе 9* Если этих учетных записей нет, то создайте их с помощью консоли Active Directory Users And Computers (Active Directory — пользователи и компьютеры) до того, как приступите к упражнению.
Для создания группы Senior Managers выполните следующие действия:
На ServerO 1 откройте консоль Active Directory Users And Computers (Active Directory — пользователи и компьютеры).
Разверните Tail Spin Toys.com, щелкните правой кнопкой Users, щелкните New (Создать), а затем щелкните Group (Труппа).
На странице New Object — Group (Новый объект — группа) в поле Group Name (Имя группы) введите Senior Managers.
Убедитесь» что Group Scope (Область действия группы) имеет значение Global (Dio- бальнаяХ a Group Туре (Тип группы) — Security (Группа безопасности) (рис. 】4-9). Щелкните Next (Далее).
〔New Object - Group' ■.:
Create bi'T ailSpbiT咖.com/U sers
Grow nan».
senior mana般s
Gm 叩 rusme (pre^WndOM 2000):
IseniM manageit
Рис, 14-9. Определение группы глобальной безопасности Senior Managers
На этом этапе имеется возможность разрешить группе использование электронной почты. Однако разрешение использования почты в группе глобальной безопасности не рекомендуется и не является иелью упражнения. Щелкните Next (Далее).
Щелкните Finish (Готово),
В панели деталей Active Directory Users And Computers (Active Directory — пользователи и компьютеры) щелкните правой кнопкой Senior Managers и щелкните Properties (Свойства).
На вкладке Members (Члены группы) щелкните Add (Добавить).
В поле Enter The Object Names To Select (Введите нмена объектов) введите Don Hall.
Щелкните Check Names (Проверить имена), а затем щелкните OK.
Повторите n. 8, 9 и 10 для добавления в группу безопасности пользователей Kim Akers и Sean Alexander.
Диалоговое окно Senior Managers Properties должно выглядеть, как на рмс, 14-10. Щелкните ОК для закрытия этого диалогового окна.
Щелкните ОК для закрытия диалогового окна.
Откройте Outlook и создайте новую общедоступную папку с именем Му Public Folder* Отправьте сообщение в эту папку.
Выйдите из системы, а затем зарегистрируйтесь в ней под именем Kim Akers. Если вы настраивали учетные записи в соответствии с указаниями главы 9, то имя поль- зователя —— k.akers, а пароль ——password&2,
Откройте Outlook и изучите, что можно сделать, а чего нельзя сделать в папке Му Public Folder. Например, вы сможете отправлять письма в эту папку.
Выйдите из системы, а затем зайдите под именем Don Hall. Если вы настроили эту учетную запись, как указано в главе 9, то имя пользователя — d.hall, а пароль — password&2.
Откройте Outlook н изучите, что можно сделать, а чего нельзя сделать в папке Му Public Folder. Определите, имеет ли Don Hall полномочий больше, чем Kim Akers.
Поэкспериментируйте с изменением разрешений, которые имеют члены группы Senior Managers и отдельно учетная запись Don Hall в отношении Public Folder Store (ServerOl). В конце упражнения убедитесь, что вы вошли в систему с помощью учетной записи Administrator (Администратор).
Занятие 4. Устранение проблем безопасности
Устранение проблем безопасности может быть сложным процессом. Трафик может фильтроваться брандмауэром, маршрутизатором или виртуальным сервером. Если определенный трафик, или трафик определенного источника» проходит там, где он нс должен проходить, либо не проходит, когда он должен проходить, то проблему найти очень сложно. Устранение проблем разрешений также может быть проблематичным. Наследование разрешений ——это очень полезная функция, но иногда сложно установить уровень, на котором определено разрешение. Использование сертификатов безопасности обычно невидимо для обычных пользователей, но вы должны знать, что делать, если сертификат скомпрометирован или поврежден.
Изучив материал этого занятия, вы сможете:
/ перечислить протоколы и службы, которые могут проходить через брандмауэр, а также их порты;
/ описать функции протоколов брандмауэра и антивирусной программы;
/ устранять проблемы разрешений и их наследования;
/ описать использование открытых и секретных ключей, а также устранять проблемы шифрования и цифровых подписей.
Продолжительность занятия - около 60 минут.
Устранение проблем связи через брандмауэр
Можно защитить сетевые приложения и службы за счет ограничения подключений к связанным с ними портам. Фильтрация TCP-порта в брандмауэре позволяет вам контролировать тип сетевого трафика, достигаюшего серверов Exchange Server 2003 и сетевых устройств. Правильно сконфигурированные брандмауэры — это стабильные и стойкие устройства, невидимые для легального пользователя, но являющиеся барьером для атакующего. Однако, как н все остальное, брандмауэры могут не справляться с тем, для чего они предназначены, и требуют устранения неполадок.
Хорошие и плохие проблемы брандмауэра
Вероятно, пользователи с этим не согласятся, но у брандмауэров имеются «хорошие^ и «плохие» проблемы. К <*хорошим» относится невозможность для «хороших парней* проникнуть через брандмауэр н сделать то, что бы они хотели. Они могут расстроиться, но вы можете решить их проблемы. К «плохим» проблемам относятся случаи, когда «плохие ребята» проходят через брандмауэр и занимаются неприглядными делами в вашей внугренней сети. Учитывайте только критику «хороших парней», а «плохих» — изолируйте.
Back-end-серверы содержат частные хранилища и «деликатные» общедоступные хранилища, нуждающиеся в надежной зашите. Front-end-серверы обычно требуют менее строгой защиты и больше функциональное^. Следовательно, многие организации реализуют упрошенную зашиту на основе брандмауэра между front-end-серверами н внешним миром и строгую защиту back-end-серверов и других «секретных» частей внутренней сети. После этого говорится, что front-end-серверы находятся в демилитаризованной зоне (demilitarized zone, DMZ), также называемой периметром сети (perimeter network).
Устранение проблем связн через брандмауэр заключается в разрешении только действительно жизненно важных соединений. Разрешает соединение через TCP-порт, убедитесь, что это только для узлов, которым действительно необходимо связываться через брандмауэр. Если суждено сделать ошибку, лучше ошибочно заблокировать адрес, чем разрешить его. Табл. 14-1 позаимствована из главы 11 «Безопасность Microsoft Exchange Server 2003», и она достаточно важна для повторения в этой главе. Это порты, которые могут понадобиться серверу Exchange Server 2003. По возможности, открывайте лишь самые необходимые из них.
Табл. 14-L Порты и службы Exchange Server 2003
ПортСлужба
25SMTP
80http
88Kerberos
(см. med. стр.)
Табл. 14-1. (окончание)
Порт
Служба
102
Message Transfer Agent (МТА)-Х.4ОО соединение по TCP/IP
НО
POP3
Н9
NNTP
135
Клиент-серверные соединения
RPC
Администрирование Exchange
143
1МАР4
389
Lightweight Directory Application Protocol (LDAP)
443
HTTP с использованием Secure Sockets Layer (SSL)
563
NNTP с использованием SSL
636
LDAP с использованием SSL
993
IMAP4 с использованием SSL
995
POP3 с использованием SSL
3268 и 3269
Поиск в глобальном каталоге
Помимо открытия и закрытия портов, брандмауэр также фильтрует трафик, блокируя или пропуская определенные адреса, диапазоны адресов или домены. Также могут блокироваться выбранные протоколы. Например, распространена практика блокировать ICMP-пакеты. Входящий трафик зачастую имеет условия фильтрации, отличающиеся от условий фильтрации исходящего трафика. Фильтрация может настраиваться на сетевых адаптерах, а также на виртуальных серверах и маршрутизаторах. Блокирование я фильтрация могут быть очень сложными. Иногда сложно определить, где неверно выполнена настройка. Ключом к решению проблем в этой области (как и во многих друтих областях) является подробное документирование, охватывающее все производимые изменения.
Трансляция сетевых адресов
Трансляция сетевых адресов (Network Address Translation, NAT) зачастую реализуется брандмауэром, хотя серверы Routing u〃d Remote /fccess (Маршрутизации и удаленного доступа) также предоставляют такую службу. Компьютеры в DMZ, включая front-end- серверы Exchange Server 2003. для связи с внешним миром должны опубликовать открытые (public) IP-адреса. Им также необходим частный (private) [P-адрес для связи внутри локальной сети. Поскольку открытые IP-адреса этих компьютеров меняться не должны, служба NAT должна на постоянной основе связывать открытый адрес с соответствующим частным адресом. Это назначение известно как специальный порт (special port). Если внешние пользователи испытывают затруднения при обращении к организации Exchange Server 2003, то необходимо проверить правильность настройки NAT. lIS-ссрвср, на котором размещена общедоступная веб-страница вашей организации,
также требует наличия специального порта* Если внешние пользователи также сообщают о проблемах обращения к этому веб-сайту, то, скорее всего, причиной является настройка NAT
Защита от вирусов
Защита от вирусов может реализовываться на брандмауэре, на серверах и у клиентов. Ежедневно необходимо проверять журналы антивирусных программ. Microsoft не предлагает антивирусных продуктов, поэтому формат и содержание *антивпрусных» журналов будет зависеть от выбранной вами антивирусной программы. Защита от вирусов более подробно рассматривалась н главе 11.
Журналы брандмауэра
Устройства-брандмауэры и программы-брандмауэры генерируют журналы. Они неоценимы в нахождении неуместных операций брандмауэра, а также для обнаружения попыток атак. Журналы предоставляют возможность узнать подробности попыток установления связи через блокированные поты и зондирования протоколов Transmission Control Prolocol/User Datagram Protocol (TCP/UDP), перехваченные брандмауэром. Попытки в отношении того же набора портов, предпринимаемые из нескольких источ* ников в Интернете» св идетельству ют о том, что наша организация была объектом сканирования. Одна из этих попыток является атакой, а другие нет. Протоколы брандмауэра также могут обнаружить «троянских копей», например Girl Friend (порт 21544) или GateCrasher (порт 6969). SubSeven (порт 1243, 6711 и 27374) — это особенно мощные зонды, широко используемые хакерами.
Если в журнале брандмауэра появляются сведения о зондировании, то брандмауэр справился со своей работой и блокировал их. Однако подобные записи свидетельствует о том, что на вашу организацию производилась атака, и вам необходимо узнать дополнительные сведения об атакующих. Для полного охвата темы в этой книге не хватит места, но мы рекомендуем поискать в Интернете материалы по критерию fireball logs.
Приманки ^Горшочки меда»
Методика горшочек меда (honeypot) — это настройка видимой «уязвимости» вебприсутствия, с последующим анализом методов, используемых для его атаки. Это может предоставить вам сведения об атакующих н отвести их от реальной организации. Дополнительную информацию рекомендуем поискать в Интернете.
Устранение проблем разрешений
Для управления доступом к Exchange-объектам, содержащимся в Exchange-организации или административной группе, используется мастер Exchange Administration Delegation Wizard (Мастер делегирования администрирования Exchange) в Exchange System Manager (Диспетчер системы Exchange). К этим объектам относятся деревья общедоступных
папок, списки адресов, базы данных сообщении (message database, MDB), протоколы и подключения. Exchange Server 2003 использует разрешения AD, такие как чтение» запись и перечисление содержимого (list contents), а также расширенные разрешения Exchange, такие как Create Public Folder н View Information Store Status. Если посмотреть на разрешения объектов, то первыми перечислены разрешения AD, за которыми следуют разрешения Exchange.
Разрешения могут наследоваться от родительского объекта либо применяться непосредственно к объекту. Поскольку разрешения обеспечивают значительную гибкость, они вносят и сложность. Устранение проблем разрешений требуется при первой установке в организации Exchange Server 2003 и после внесения в организацию значительных изменений или добавления новых объектов. Структуру разрешений можно сделать более надежной, назначая разрешения в отношении групп, а не для отдельных пользователей, а также как можно реже используя отрицание разрешений.
Примером разрешения проблем является случай, когда две организации не могут отправить друг другу сообщения подтверждения полномочий через SMTP-подключения. Проблема в том. что в обеих организациях учетным записям, используемым для проверки полномочий, на виртуальных SMTP-серверах не предоставлено требуемое разрешение 5e〃d А? (Отправка от имени). Без этого дополнительного разрешения сообщения, отправляемые между серверами, отвергаются, поскольку сервер выполняет проверку наличия разрешений Send As (Отправка от имени) у пользователя, отправившего сообщение.
Просмотреть разрешения, имеющиеся у пользователей или группы в отношении определенного объекта, можно путем обращения к этому объекту в Exchange System Manager (Диспетчер системы Exchange). Перейдите на вкладку Security (Безопасность) диалогового окна свойств этого объекта. Если флажки Allow (Разрешить) и Deny (Запретить) разрешения выводятся затененными, то этот объект наследует разрешения родительского объекта. Можно изменить эти наследуемые разрешения либо щелкнуть Advanced (Дополнительно) и заблокировать наследование. В последнем случае имеется возможность либо удалить все наследуемые разрешения, либо скопировать их, для того чтобы объект сохранил настройки разрешений, но они более не будут являться наследованными. Этот вариант продета алей на рис. 14-12,
Рис. 14-12. Копирование и удаление наследуемых разрешений
Одной из самых распространенных ошибок настройки разрешений является случай, когда администратор решил, что наследуемые разрешения не подходят, заблокировал наследование, удалил все наследованные разрешения, установил требуемое разрешение, но пренебрег восстановлением наследуемых разрешений, необходимых для правильного функционирования. Если вы изменяете разрешения и, особенно, если вы поручаете эту задачу другому, то все изменения должны подробно документироваться*
Устранение проблем шифрования и цифровой подписи
Exchange Server 2003 использует для шифрования Протокол защиты транспортного уровня (Transport Layer Security, TLS) и осуществляет цифровую подпись SMTP-соединений. Другие интернет-протоколы используют SSL. Как TLS, так и SSL требуют наличия сертификатов, получаемых от центра сертификации (certification authority, СА). Сертификат состоит из открытого ключа, который можно сделать доступным для всех, и секретного ключа, который знает только его владелец.
При использовании базовой а^ентификации имя пользователя и пароль будут передаваться в виде открытого текста, если только не зашифровано все соединение. Шифрование защищает содержание сообщения от перехвата и прочтения, либо изменения при передаче. Отправитель шифрует сообщение с помощью открытого ключа получателя, а получатель расшифровывает его с помощью своего секретного ключа. Расшифровать сообщение может только получатель.
Отправитель осуществляет цифровую подпись сообщения с помощью своего секретного к刀юна. Получатель использует открытый ключ отправителя для проверки подписи. Отправить это письмо может только отправитель, поскольку только отправитель имеет секретный ключ.
Шифрование и цифровая подпись могут дать сбой по следующим причинам:
Сертификат аннулирован Обычно сертификаты объявляются недействительными, если администратор полагает, что они скомпрометированы. Например, если третья сторона получила секретный ключ, то сертификат больше не является безопасным.
Клюй поврежден Секретный ключ пользователя хранится в профиле этого пользователя и может быть поврежден. В этом случае администратор должен аннулировать сертификат и издать новый.
Сертификат не принимается Если служба сертификации установлена на сервере в домене AD, то вы можете сами издавать сертификаты. Такие сертификаты могут использоваться внутри организации, но маловероятно, что им будут доверять извне. Для шифрования и снабжения цифровой подписью Интернет-почты, необходим сторонний сертификат от известного поставщика, например от 找riSign.
Лабораторная работа. Проверка шифрования электронной почты
В ходе этой лабораторной работы вы отправляете электронное сообщение с ServerOl на Server02 и перехватываете его содержание с помощью Network. Monitor (Сетевого монитора). После этого вы получаете сертификат и используете его для шифрования исходящей почты. После этого отправляете другое сообщение и проверяете, что его содержание зашифровано. Предполагается, что Network Monitor (Сетевой монитор) уже установлен и сейчас он используется не в первый раз. Установка Сетевого монитора рассмотрена в главе 13. Если он используется в первый раз, то в качестве наблюдаемой сети необходимо указать Local Area Network (Локальная сеть).
Также подразумевается, что вы еще не получали сертификаты и шифрованные электронные сообщения. Если такое было, то с помощью мастера сертификатов удалите
сертификат. И, наконец, предполагается, что Certificate Services (Служба сертификатов) установлена на ServerOl.
Упражнение 1. Перехват нешифрованного сообщения
Это упражнение подобно разделу устранения неполадок в главе 13. Тем не менее, это небольшое упражнение и оно необходимо для остальной лабораторной работы.
Для перехвата нешифрованного сообщения выполните следующие действия:
I. На ServerOl откройте Network Monitor (Сетевой монитор).
В меню Capture (Захват) щелкните Start (Пуск).
Откройте Outlook и отправьте сообщение adтb?istrator^contoso.сот. В теле сообщения введите Now is the time for all good men to come『o the 口/d of the party,
В меню Capture (Захват) щелкните Stop And View (Остановить и просмотреть),
5* В панели деталей (верхняя панель) выполните прокрутку перехваченных фреймов, пока не найдете сообщение (рис. 14-13).
Mter<K<rft Network Monitor TEapture; 1 ,Н<*)]
¥ E*» £庆 Cjsptay look Options Window 由0
i|Q| 渓賜応J 昌i [e[a[soj 屮I Y|®| 晶闷-I b| 21
1651.2937*7LOCAJ.00Г'0В74СЭ7Л9TCPControl Bits：
17Si,323800LOCAL00В0В7-1С37Л9TCJCcmttol Bit»: .A.…■
"『
FBAHE： BasgpropertiesЯТНЕЮТТ: ETyp・-Internet IP (IPv4)FBAHE： BasgpropertiesЯТНЕЮТТ: ETyp・-Internet IP (IPv4)=47075; ToCAl IP Lenrrt=47075; ToCAl IP Lenrrt979rg65693439. ack：40734ЬЭС979rg65693439. ack：40734ЬЭС卜10000030。 00000310 0DODO3ZP ОООООЭЭО 00000340 00000350卜10000030。 00000310 0DODO3ZP ОООООЭЭО 00000340 000003506 s 6 2 66 s 6 2 6D 5 s 5 4 ПМQ & 6 6 7 3w^^^^^D 904 工J>0占2 7 6 力5 4 4 о QA67 6 2 721с о «• F о n~6 ± 白 $ zzl2 s F 4 5 &6 5 6 7 6 2D 5 s 5 4 ПМQ & 6 6 7 3w^^^^^D 904 工J>0占2 7 6 力5 4 4 о QA67 6 2 721с о «• F о n~6 ± 白 $ zzl2 s F 4 5 &6 5 6 7 6 2iHtabl*j■皿丁ИЫои x'厶] t ch« dm* Cur a 11 good ь«п 匸。c оке 匕о 匕he a±d о f the party.』国》团iHtabl*j■皿丁ИЫои x'厶] t ch« dm* Cur a 11 good ь«п 匸。c оке 匕о 匕he a±d о f the party.』国》团/И--- н Next?色/И--- н Next?色[TCP protocol summary[TCP protocol summaryF・：I力，3F・：I力，3
FBAHE： Basgproperties
ЯТНЕЮТТ: ETyp・-Internet IP (IPv4)
FBAHE： Basgproperties
ЯТНЕЮТТ: ETyp・-Internet IP (IPv4)
=47075; ToCAl IP Lenrrt
=47075; ToCAl IP Lenrrt
979rg65693439. ack：40734ЬЭС
979rg65693439. ack：40734ЬЭС
卜1
0000030。 00000310 0DODO3ZP ОООООЭЭО 00000340 00000350
卜1
0000030。 00000310 0DODO3ZP ОООООЭЭО 00000340 00000350
6 s 6 2 6
6 s 6 2 6
D 5 s 5 4 ПМQ & 6 6 7 3w^^^^^D 904 工J>0占2 7 6 力
5 4 4 о QA67 6 2 721с о «• F о n~6 ± 白 $ zzl2 s F 4 5 &
6 5 6 7 6 2
D 5 s 5 4 ПМQ & 6 6 7 3w^^^^^D 904 工J>0占2 7 6 力
5 4 4 о QA67 6 2 721с о «• F о n~6 ± 白 $ zzl2 s F 4 5 &
6 5 6 7 6 2
iHtabl*j■皿丁ИЫои x'厶] t ch« dm* Cur a 11 good ь«п 匸。c оке 匕о 匕he a±d о f the party.』国》团
iHtabl*j■皿丁ИЫои x'厶] t ch« dm* Cur a 11 good ь«п 匸。c оке 匕о 匕he a±d о f the party.』国》团
/И--- н Next?色
/И--- н Next?色
[TCP protocol summary
[TCP protocol summary
F・：I力，3
F・：I力，3
Рис. 14-13. Перехваченное неин|фрова1шое сообщение
Закройте Network Monitor (Сетевой монитор). Не сохраняйте результаты перехвата.
Упражнение 2. Получение сертификата и настройка шифрования
В этом упражнении вы получите сертификат и настроите шифрование. После этого проверите, что сообщение зашифровано.
Для обеспечения безопасности трафика электронной почты за счет шифрования выполните следующие действия:
На ServerOl запустите Exchange System Manager (Диспетчер системы Exchange),
Перейдите в Administrative Groups\First Administrative Group\Servers\ServerO 1\ Protocols\SMTP\Dcfauk SMTP Virtual Server.
Щелкните правой кнопкой Default SMTP Virtual Server (Виртуальный сервер SMTP ло умолчанию) и щелкните Properties (Свойства).
На вкладке Access (Доступ) щелкните Certificale (Сертификат).
Откройте Web Server Certificate Wizard (Мастер сертификатов веб-сервера), щелкните Next (Далее).
Выберите Create A New Certificate (Создать новый сертификат), а затем щелкните Next (Далее).
Выберите Send The Retjuesl Immediately lb An Online Certification Authority (Отправить запрос в центр сертификации немедленно), а затем щелкните Next (Далее).
Еще раз щелкните Next (Далее) для принятия значений по умолчанию на странице Security Name And Settings (Наименование и настройки защиты).
Убедитесь, что Organization (Организация) имеет значение Tailspintoys, Organizational Unit (Подразделение) — Administration (Адм и нистраци я). Щелкните Next (Далее).
Убедитесь, что Common Name (Общее имя) имеет значение SmerOL Щелкните Next * (Далее).
Убедитесь, что в Geographical Information (Сведения о регионе) выбрано верное значение. Щелкните Next (Далее).
Выберите официальную службу предоставления сертификатов (рис. 14-14)*
IIS Certificate Wizard
Choao a C«ilUic«Uor> Aulhcnily
CetWicale requeats «e sert to a c«喻свбоп authoiXy available on у wi network.
Sehct a certlication authority to ixocess you reqg匕
Certification authoritiex,
IjSefveftrf fgiiS/nT oy$. uorft*［細沮M欣工］
《Back. ［I Cancel |
Рис. 14-14. Выбор CA
Щелкните Next (Далее). Еще раз щелкните Next (Далее) длх отправки запроса.
Щелкните Finish (Готово) для завершения работы мастера.
Кнопка Communication (Связь) на вкладке Access (Доступ) диалогового окна Default SMTP Virtual Server Properties диалогового окна теперь доступна (представлена не серым цветом). Щелкните эту кнопку.
Установите настройки безопасности для использования безопасного канала (рис, 14-15).
Рис. 14-15. Указание настроек безопасности
Щелкните ОК. Ешс раз щелкните ОК для закрытия диалогового окна Properties.
Повторите процедуру описанную в упражнении I. Отправьте идентичное сообщение на adnunisfrafor@contoso.сот и перехватите его. На этот раз в Network Monitor (Сетевой монитор) невозможно прочитать тело сообщения.
Занятие 5. Устранение проблем технологий, обеспечивающих поддержку Exchange Server 2003
В ходе этого занятия вы познакомитесь с технологиями Windows Server 2003, работающими «на заднем планет, обеспечивая поддержку организации Exchange Server 2003. Хотя эти технологии не имеют непосредственного отношения к электронной почте, общедоступным хранилищам или группам новостей, они необходимы для работы Exchange Server 2003. Если серверы Exchange Server 2003 не могут разрешить имена узлов клиентов или других серверов в IP-адреса либо, в свою очередь, разрешить эти IP-адреса в МС-адреса (Media Access Control, МАС), то Exchange работать не будет, так же как и при недоступности AD.
В ходе занятия 1 вы изучили, как для диагностики подобных проблем могут быть использованы утилиты netdiag и dediag. Также вам необходимо знать, как проверить возможность подключения к другим сетям, включая Интернет. Для проверки связи существует множество пилит командной строки, и вы должны быть знакомы с их ис
пользованием.
Изучив материал этого занятия, вы сможете:
объяснить, как работает ARP-протокол (Address Resolution Protocol, ARP) и как управлять ARP-кэшем;
использовать утилиты nslookup и ipconfig для диагностики и отладки распространенных проблем DNS;
/ устранять неполадки AD;
/ использовать такие угилиты командной строки, как р山g, tracert, ipconfig
и pathping для диагностики проблем связи.
Продолжмтельность занятия — около 90 минут.
Устранение проблем разрешения имен узлов
У1лы в сети идентифицируют друг друга по МАС-адресу, который представляет собой уникальное 48-значное число, запрограммированное в каждой сетевой карте (network interface card, NIC). Когда узлу требуется найти другой узел по его имени узла (hostname), то сначала это имя узла должно быть разрешено в IP-адрес (обычно с помощью DNS), а затем — ARP разрешает этот IP-адрес в МАС-адрес.
Как работает ARP
Обычно ARP-операции невидимы для пользователя. Если что-то выполняется неверно, то необходимо изучить ARP-кэш или с помощью Network Monitor просмотреть содержимое ARP-фреймов. Для того чтобы предоставляемая этими средствами информация имела смысл, необходима знать, как работает протокол ARR
ARP разрешает IP-адреса используемыми программами на основе TCP/IP в МАС- адреса, используемые сетевым оборудованием, например Ethernet. Поскольку каждая IP-дсЙтаграмма заключается во фрейм, то должны представляться МАС-адреса источника и цели. ARP определяет МАС-адрес пункта назначения для каждого фрейма.
Когда ARP-протокол получает запрос на разрешение IP-адреса, он сначала проверяет: разрешался ли недавно этот адрес и существует ли статическая запись для этого МАС-адрсса. соответствующего запрашиваемому IР-адрссу. Эта информация содержится в кэше ARP. Если IP-адрес нс может быть разрешен из кэша» то ARP посылает широковещательный запрос, содержащий IP- и МАС-адреса источника и 1Р-адрсс цели. В результате ответа на запрос откликнувшийся компьютер и тот, который посылал ARP-запрос, записывают в свои ARP-кэши ТР- и МАС-адреса другого.
Разрешение локальных адресов
Действие ARP лучше проиллюстрировать на рассматриваемых примерах разрешения локального и удаленного адреса. В первом примере Host A, Host В и Host С — в одной подсети. Команда ping, издаваемая на Host А, указывает IP-адрес Host С. Протокол ICMP обращается к ARP за разрешением этого IP-адреса,
ARP проверяет кэш на Host А. Если [P-адрес не может быть разрешен с помощью информации из кэша, то ARP выполняет широковещателъный запрос ко всем узлам подсети. В ARP-запросе указывается IP- и МАС-аресз источника и запрашивается
МАС-адрес, соответствующий указанному IP-адресу. Поскольку ARP-фрейм является широковещательным, то обрабатывать его будут все узлы этой подсети. Узлы, которые имеют иной 1Р-адрсс (например, Host В) отвергают широковещательный фрейм. Host С узнает, что этот 1Р-адрес такой же, как его собственный, и сохраняет пару 1 Р/М АС адресов, соответствующих Host А, в своем кэше. Этот процесс представлен на рис. 14-16. Целевой адрес на этом рисунке — это Ethcrnet-адрсс широковещательного фрейма (FFFFFFFFFFFF). МАС-адрес целевого узла нс известен, и ему назначено значение 000000000000.
Исходный IP-адрес 192Д68.230.60
Исходный МАС-адрес 0000384D567A叩 С
Целевой IP-адрес 192.168.230.66
Целевой адрес FFFFFFFFFFFF (широковещательный)IP-адрес 195.162.230.66
_IЭй, это моё!
Host С отправляет сообщение ARP-ответа, содержащее его МАОадрес непосредственно на Host А. Когда Host А получает это сообщение, он обновляет свой ARP-кэш адресной парой узла Host С. Теперь Host А может отправить ping-дейтаграмму ICMP (или любую IP-дейта грамму) непосредственно на Host С (рис. 14-17).
Исходный 0000384D567A IP/ICMP-Целевой 00003840667Сде决та「рамма•полезный груз*АдейтаграммыИсходный 0000384D567A IP/ICMP-Целевой 00003840667Сде决та「рамма•полезный груз*АдейтаграммыЯ могу игнорировать эти сообщения.Их отфильтрует мой NIC.Я могу игнорировать эти сообщения.Их отфильтрует мой NIC.Рис. 14-17. .4RP-ответРис. 14-17. .4RP-ответ192.168.230.600000384D567A192.168.230.600000384D567A
Исходный 0000384D567A IP/ICMP-
Целевой 00003840667Сде决та「рамма
•полезный груз*А
дейтаграммы
Исходный 0000384D567A IP/ICMP-
Целевой 00003840667Сде决та「рамма
•полезный груз*А
дейтаграммы
Я могу игнорировать эти сообщения.
Их отфильтрует мой NIC.
Я могу игнорировать эти сообщения.
Их отфильтрует мой NIC.
Рис. 14-17. .4RP-ответ
Рис. 14-17. .4RP-ответ
192.168.230.60
0000384D567A
192.168.230.60
0000384D567A
Благодарю, я сохраню адресную пару в своем кэше.
Теперь я могу посылать 1Р/1СМР-дейтаграммы.
—Рртвет исходный IP-адрес 192.168.230.66
Исходный МАС-адрес O0O0384D667C
Целевой МАС-адрес 000O384D567A
Разрешение удаленного адреса
Когда адрес назначения IP-дейтаграммы находится в удаленной подсети, то ARP будет разрешать этот IP-адрес в МАС-адрес NIC в шлюзе маршрутизатора. В нашем примере Host А и Host В находятся в разных подсетях. Команда ping, выполненная на Host А, указывает IP-адрес Host В.
Так же как н в предыдущем примере, ARP сначала осуществляет поиск соответствия в собственном K3Uje узла (Host А). Если IP-адрес пункта назначения не может быть разрешен из кэша, то посылается широковещательный ARP-запрос. ARP не знает, что целевой узел является удаленным, поскольку маршрутизация — это IP-функция, а не ARP-функция. ARP просит разрешить удаленный IP-адрес, точно так же, как аналогичный запрос по разрешению локального адреса.
Все обычные узлы локальной сети отклоняют запрос, поскольку никто из них не имеет соответствующе го IP-адреса. Однако маршрутизатор проверяет свою таблицу маршрутов (routing table) и определяет, что он может обратиться к подсети с этим удаленным узлом. После этого он помещает в кэш пару IP /МЛС адресов Host А и отправляет обратно ARP-отвст, указывающий МАС-адрес сетевой карты-шлюза. На узле Host А, ARP помещает в кэш этот МАС-адрес вместе с разрешаемым IP-адресом. Поскольку ARP на Host А получил информацию, он выполнил свою работу. Таким образом, Host А разрешил удаленный IP-адрес МАС-адресом своего шлюза по умолчанию.
Теперь ARP на маршрутизаторе принимается за задачу разрешения IP-адреса. Сначала он проверяет свой кэш на предмет адреса целевой сетевой карты. Если разрешить адрес с помощью кэш нс удается, он посылает широковещательный запрос в подсеть целевого узла, предоставляя IP- и МАС-адрсс сетевой карты шлюза, который обращается к сетевой карте целевого узла.
На рис. 14-18 Host В распознает свой IP-адрес, кэширует IP /МАС адрес шлюза по умолчанию я возвращает его МАС/адрес в фрейме ARP-отвста прямо на шл юз. ARP на шлюзе кэширует МАС-адрес Host В совместно с разрешенным JP-адресом и процесс завершается. Результатом успешного разрешения являются пары адресов в ARP-кэше (рис. 14-18).
таблица маршрутов192.168.230.0192.168.230.1工92.丄68.23丄.0192.168.231.1таблица маршрутов192.168.230.0192.168.230.1工92.丄68.23丄.0192.168.231.1192.168.231.5000003872A05D192.168.231.5000003872A05DКэшКэшКз 出 МаршрутизаторКз 出 Маршрутизатор192.168.230.60 0000384D567A192.168.230.60 0000384D567A192.168.231.50000038АА8901192.168.231.50000038АА8901192Л68.231.100003852FF63192Л68.231.100003852FF63КэшКэшARP-запросARP-запросИсходный МАС-адрес 000038АА8901 Целевой МАС-адрес 00003852FF63Исходный МАС-адрес 000038АА8901 Целевой МАС-адрес 00003852FF63ARP ответARP ответИсходный IP-адрес 192.168.231,1Исходный МАС-адрес 00003852FF63Целевой IP-адрес 192.168,231.50Целевой адрес FFFFFFFFFFFFИсходный IP-адрес 192.168.231,1Исходный МАС-адрес 00003852FF63Целевой IP-адрес 192.168,231.50Целевой адрес FFFFFFFFFFFF
таблица маршрутов
192.168.230.0192.168.230.1
工92.丄68.23丄.0192.168.231.1
таблица маршрутов
192.168.230.0192.168.230.1
工92.丄68.23丄.0192.168.231.1
192.168.231.50
00003872A05D
192.168.231.50
00003872A05D
Кэш
Кэш
Кз 出 Маршрутизатор
Кз 出 Маршрутизатор
192.168.230.60 0000384D567A
192.168.230.60 0000384D567A
192.168.231.50
000038АА8901
192.168.231.50
000038АА8901
192Л68.231.1
00003852FF63
192Л68.231.1
00003852FF63
Кэш
Кэш
ARP-запрос
ARP-запрос
Исходный МАС-адрес 000038АА8901 Целевой МАС-адрес 00003852FF63
Исходный МАС-адрес 000038АА8901 Целевой МАС-адрес 00003852FF63
ARP ответ
ARP ответ
Исходный IP-адрес 192.168.231,1
Исходный МАС-адрес 00003852FF63
Целевой IP-адрес 192.168,231.50
Целевой адрес FFFFFFFFFFFF
Исходный IP-адрес 192.168.231,1
Исходный МАС-адрес 00003852FF63
Целевой IP-адрес 192.168,231.50
Целевой адрес FFFFFFFFFFFF
Рис. 14-18. Разрешение удаленного IP-адреса
Устранение проблем DNS
Существует несколько методов разрешения имени узла в IP-адрес. Если имя узла недавно разрешалось, то эта информация обычно будет доступна в DNS-кэше узла. Разрешение через кэш — быстрое и эффективное. Оно всегда используется первым. Статические файлы узлов (host files) могут разрешать имена узлов, но они требуют больших усилий по администрированию, поскольку их необходимо разместить на каждом компьютере. NetBIOS-методы, такие как IM^dows Internet Name System (WINS), полезны в доменах, работающих в смешанном режиме. Однако в Windows Server 2003 (и Windows 2000 Server) имеется динамическое разрешение (dynamic DNS, DDNS), и это является оптимальным вариантом разрешения.
DNS рассматривается в нескольких главах этой книги. В частности, в главе 10 «Настройка и управление SMTP-протоколом^ описывается создание MX-записей. Служба DNS необходима для AD, а, следовательно, для установки сервера Exchange Server 2003.
Таким образом, можно предположить, что DNS была доступна и правильно настроена в процессе установки, а сейчас необходимо определить, что может вызвать отказ DNS в ходе работы сервера Exchange Server 2003.
Отказ DNS-сервера
Полный отказ DSN в домене AD почти невозможен. Для обеспечения failover-поддержки обычно служба DNS, интегрированная в AD, доступна на одном или нескольких контроллерах домена. Если AD DNS не используется, то для восстановления первичного DNS-сервера используется вторичный DNS-сервер. Первичный DNS-сервер, не интегрированный в AD, является единственным источником отказа. Если он отказал, то невозможно добавить новые элементы в файл DNS-зон. Однако вторичный продолжает обеспечивать службу разрешения имен, как правило, в течение времени, достаточном для восстановления первичного DNS-сервера.
Однако отказ DNS-сервера может вызвать проблемы, если узел не имеет 1Р-адреса, по крайней мере, одного альтернативного DNS-сервера. Если узел располагает IP-адресом только одного DNS-сервера и этот сервер отключен, то узел не сможет разрешать имена узлов, даже если служба DNS доступна на другом сервере. Обычно машины клиентов настраивается с помощью ^)ЯСР-протокола (Dynamic Host Configuration Protocol, DHCP) и получают список всех доступных DNS-серверов. Однако, такие серверы, как Exchange Server 2003, обычно настраиваются вручную. Можно легко забыть добавить альтернативные DNS-ссрверы, и все будет работать замечательно до тех пор, пока не откажет этот DNS-сервер.
Утилита dediag, рассмотренная в ходе занятия 1 этой главы, используется вручную для отыскания проблем AD, но она также может использоваться для проверки функционирования DNS. Рассмотренная там же утилита netdiag также проводит проверку DNS. Утилита ns lookup, рассмотренная в главе 10, получает DNS-статистику и список доступных DNS-сервсров. Проверить возможность подключения к DNS-серверу можно, 《прозвонив» его IP-адрес. Хотя самый простой и наиболее мощный тест выполняется утилитой ipconfig /all, которая выводит список первичного н альтернативных DNS- серверов, доступных любому узлу. Разумней использовать ipconfig/all для проверки всех серверов Exchange Server 2003, что позволяет убедиться, что они имеют список 1Р-ад- рссов всех доступных DNS-серверов.
Сервер не зарегистрирован в DDNS
При включении нового сервера требуется некоторое время (иногда до 15 минут), чтобы прошла его динамическая регистрация в DDNS. Если службы, предоставляемые этим сервером, требуют немедленной регистрации, то можно выполнить принудительную регистрацию, открыв окно командной строки и введя следующие команды в указанной последовательности:
ipconfig /registerdns
net stop netlogon
net start netlogon
Если произошла ошибка регистрации, проверьте Event Viewer. Однако, если нет других ошибок, А (Ъоя1)-запись должна появиться в DNS практически сразу.
Отрицательное кэширование
Если DNS разрешает нмя узла в IP-адрес, то пара «имя узла /1Р~адрес力 хранится в кэше на узле, инициировавшем запрос (распознаватель). Однако если разрешение не выполнено, то эта информация также кэшируется. Это делается для прекращения расходования ресурсов при неверном вводе пользователем имени узла. Предположим, что имя узла указано верно, но ввиду какого-то сбоя, разрешение не было выполнено. Эта отрицательная (negative) информация кэшируется. Предположим, что сбой устранен. Теперь каждый клиент может разрешать имя узла за исключением того клиента, который пытался сделать это ранее. Он пытается выполнить разрешение из кэша, получая отрицательную информацию, что ведет к ошибке. Эту проблему можно решить, открыв окно командной строки на этом клиенте и выполнив команду ipconfig /flushdns.
Решение, не требующее усилий
Существует альтернативный метод разрешения проблемы отрицательного кэширования, который полезен в тех случаях, когда машина клиента находится слишком далеко от вас либо когда пользователь не умеет пользоваться командной строкой для ввода необходимой команды. Предложите пользователю перекусить, и к его возвращению проблема будет решена. Записи н кэше (включая отрицательное кэширование) имеют тайм-ауты, обычно до одного часа.
Проблемы DHCP
Иногда машины клиентов не могут обратиться ни к одному серверу в сети или разрешать любые имена узлов, в то время как другие пользователи нс имеют проблем. В этом случае проверьте настройку этого клиента с помощью утилиты ipconfig. Велика вероятность, что IP-адрес клиента будет в диапазоне 169.254.xjc. Существующая ситуация вызвана тем, что по каким-то причинам приостаноалена служба DHCE либо закончился срок аренды адреса, либо узел был настроен с помощью системы адресации API РА (automatic private IP addressing, API PA), Если исправить проблему DHCP, то оиент получит DHCP-выделение приблизительно на 5 минут и проблема будет решена. Если требуется немедленное решение, то на машине клиента откройте окно командной строки н введите следующие команды: ■ ipconfig /release
ipconfig /renew
Примечание Достаточно ввести только ipconfig /renew, когда необходимо преобразовать APIPA-адрсс в DHCP-выделен не. Однако разумней всегда освобождать (release) IP-настройку перед ее обновлением.
Устранение проблем AD
Так же как DNS, AD должна быть доступна для установки Exchange Server 2003 и созван ня организации Exchange Server 2003. Служба каталогов AD надежна благодаря тому, что база данных AD реплицируется между контроллерами домена. Если только не нс- пользуется единственный контроллер дамена (что не рекомендуется), то одной точки отказа всей AD не существует.
Однако AD использует хозяев операций2 (operations masters), н отказ мастера операций влияет на функционирование самой службы каталогов AD, Обычно с мастерами операций связаны следующие проблемы:
Невозможно создать участников безопасности (security principals) Полагая, что у вас имеются достаточные полномочия для создания участников безопасности, эта проблема обычно возникает в тех случаях, когда хозяин R1D недоступен или не отвечает, Это может быть вызвано проблемами связи или ввиду отказа компьютера, выполняющего роль хозяина R1D. Этот отказ также может происходить в тех случаях, когда право пользователя Access This Computer From The Network (Доступ к компьютеру по сети) не назначено соответствующим группам на хозяине RID.
Невозможно изменить членство в группе Полагая, что вы имеете необходимые административные полномочия по изменению членства, причиной этой ошибки является недоступность хозяина инфраструктуры (infrastructure master). Это может быть связано с проблемой связи. Кроме того, это может вызываться отказом компьютера, выполняющего роль хозяина инфраструктуры.
Пользователи не могут проверить полномочия Это может быть проблемой доменов, работающих в смешанном режиме (mixed mode domains), в которых некоторые клиенты не поддерживают AD. Обычно это происходит тогда, когда истек срок действия пароля пользователя и недоступен эмулятор PDC. Это может быть связано с проблемой связи. Кроме того, это может вызываться отказом компьютера, выполняющего роль эмулятора PDC.
Во всех этих случаях определить компьютер, выполняющий роль хозяина RID, хозяина инфраструктуры или эмулятора PDC, можно с помощью команды netdom query fsmo, выполняемой из консоли Command любого узла домена (рис. 14-19). После этого можно восстановить или заменить компьютер, выполняюший роль соответствующего хозмнна. В некоторых случаях приходится захватывать роль мастера операций. Кроме того, возможно, придется устранить проблему связи.
Они отвечают за выполнение следующих операций: обновление схемн* создание новых доменов в лесу, раздача новых блоков относительных идентификаторов Relative Identifier (RID) и другие.
Рис. 14-19. Определение хозяев операций
Утилита dediag, рассмотренная в занятии 1 этой главы, — это мощное средство проверки общей работоспособности AD. Как уже говорилось ранее, AD — надежна. В том случае, если она была верно настроена при установке Exchange Server 2003, с ней вряд ли могут возникнуть проблемы.
Внимание! Если в домене имеются контроллеры доменов с Windows 2000, убедитесь, что на них установлен SP3 н более свежий. В противном случае Exchange Server 2003 не сможет обращаться к ним.
Устранение проблем связи
В ходе занятия I этой главы рассматривалась утилита neidiag, а в главе 10 — telnet и 曝lookup. На этом занятии мы уже видели, как используется утилита ipconfig для вывода IP-koh- фигурации узла, для регистрации узла в DDNS, для очисткн DNS-кэша и для получения DHCP-выделения. В этом разделе мы рассмотрим дополнительные утилиты командной строки, которые могут использоваться для устранения проблем связи.
Утилита Ping
Утилита ping использует для проверки связи команды запроса отклика ICMP-протокола. Некоторые брандмауэры и маршрутизаторы не пропускают ICMP-пнкеты* н вы не сможете выполнить «прозвонку» за их пределами. Назли этим ограничениям, pi叫 остается одним из самых полезных и широко используемых средств устранения неполадок. С ее помошью можно проверить правильность установки ТСР/1Р на узле, выполнив «прозвонку» адреса обратной связи (loopback address) 127.0.0.1. Можно проверить все сетевые карты, установленные на компьютере. Можно «прозвонить» другой узел в подсети, как по IP-адресу, так и по имени узпа, проверив разрешение имен. Можно прозвонить все серверы, с которыми необходимо связаться. И, наконец, можно проверить связь с узлом в удаленной подсети для проверки возможности связи через Интернет.
Ping позволяет указывать ряд параметров (ключей), например размер пакетов, количество отправляемых пакетов, записывать ли используемый маршрут, время жизни
пакетов (time-to-live, TTL) и установку флага, запрещающего фрагментацию пакета. Подробное описание параметров можно получить^ введя в окне командной строки команду ping /?*
Например, ping -л 6 -1 2000 -w 10000 10.0.10.100 шесть раз выполняет «прозвон» узла с IP-адресом 10.0.10,100 с размером пакета 2000 байтов» По умолчанию ping ожидает каждый отклик 4000 миллисекунд перед.тем. как вывести сообщение «Request Timed Ош». При《прозвонке» удаленной системы через медленное соединение для указания более длительного тайм-аута необходимо использовать параметр -w. В нашем примере тайм-аут имеет значение 10 секунд.
Утилита Агр
Утилита командной строки агр используется для управления ARP-кэшем, который представляет собой таблицу, в которой хранятся пары адресов IP/МАС. Всякий раз, когда компьютер разрешает IP-адрес цели, используя широковешательный ARP-запрос, пара адресов целевого компьютера сохраняется в кэш-памяти компьютера-источника. Подобным образов, когда целевой компьютер откликается на ARP-запрос с помощью ARP-ответа, адресная пара ком п ьютсра-источн и ка сохраняется в кэш-памяти целевого компьютера. Кэш-за пи си, автоматически генерируемые в ходе ARP-разрешения, называются динамическими записями. Они остаются в памяти в течение TTL (по умолчанию —2 минуты), и если в течение этого времени к ним не происходит обращения, то они сбрасываются. Если к паре происходит повторное обращение до того, как она будет удалена, ее TTL увеличивается еще на 2 мннутн* Таким образом, записи, к кето- рым происходит частое обращение, могут увеличить свое TTL максимум до 10 минут.
Адресные пары часто используемых пунктов назначения, какими могут являться шлюзы по умолчанию пли рядовые серверы, можно ввести вручную. Адреса, внесенные вручную, называются статическими злементамм. Они сохраняются в кэше до момента перезагрузки узла или до «ручного» удаления.
Совет Статические элеме^пы агр-кэша удаляются при перезагрузке. Для того чтобы qhm оставались постоянноt создайте сценарий запуска, который повторно вводит их.
Утилита Nbtstat
Net ВТ (Network basic inpui/output system (NetBIOS) over TCP/IP, Net ВТ) разрешает NetBIOS-имена в IP-адреса. TCP/IP предоставляет множество вариантов для NetBIOS разрешения имен, включая поиск в локальном кзше, запрос к WINS-сервсру, широковещательный запрос, запрос к DNS-серверу, поиск в файлах bn hosts и hosts. Теоретически, DDNS ——это основной способ разрешения имен в доменах AD, работающих в собственных режимах Windows 2003 и Windows 2000, и NetBT может быть отключен. На практике, многие серверы и продукты BackOffice (например. Systems Management Server) используют NetBT. Необходимо тщательно взвесить, стоит ли удалять NetBT
Утилиту командной строки nbmtai можно использовать для устранения проблем разрешения NetBIOS-имен. Доступны следующие параметры:
nbtstat -п Выводит имена, зарегистрированные локально на системе такими программами, как сервер или редиректор.
nbtstat -с Показывает кэш NetBIOS-имен, содержащий отображения *имя-в- адрес» (namc-to-addrcss) для других компьютеров.
nbtstat -R Удаляет кэш имен и повторно загружает его из файла imhos is.
nbtstat -RR Освобождает NetBIOS-имена, зарегистрированные с помошью WINS- сервера, а затем обновляет их регистрацию.
nbtstat -а пате Выполняет NctBlOS-KOMaHay adapter status в отношении компьютера, указанного в параметре пате. Команда adapter status возвращает таблицу локальных NctBIOS-имсн для этого компьютера, плюс МАС-адрес адаптера.
nbtstat -S Выводит список текущих NetBIOS-сеансов и состояние каждого, включая статистику.
Примечание Утилита nbtstat разработана для UNIX и чувствительна к регистру ввода.
Утилита Netstat
Утилита netstat предназначена для вывода статистики протокола и текущих ТСР/1Р соединений. Доступны следующие параметры: ■ netstat -а Выводит все соединения.
netstat -г Выводит таблицу маршрутов, плюс активные соединения.
netstat -о Выводит особенности процесса, так что можно просмотреть владельца порта для каждого соединения.
netstat -е Выводит Ethernet-статистику.
netstat -s Выводит статистику по протоколам.
в netstat -п Выводит адреса и порты в числовом формате.
Утилита Tracert
Утилита командной строки tracert используется для определения путн, по которому IP-дсйтаграмма достигла пункта назначения. Для определения маршрута от одного узла к другому утилита использует поле 1Р TFL и сообщения ICMP-оишбок. Поскольку используется ICMP, tracert не работает через брандмауэры и маршрутизаторы, блокирующие ICMP-фреймы. Попробуйте выполнить tracert www.mlcrosoft.com. Это может сработать, а может нет, в зависимости от маршрута, по которому дейтаграмма достигла лупкта назначения. Угилиту traceri также можно использовать для отслеживания пути дейтаграммы внутри локальной сети. Утилита полезна для отыскания неполадок крупной сети, где для доступа в одну точку может использоваться несколько маршрутов. Команда tracert имеет следуюши!! синтаксис:
tracert [-d] [-h масимальное_число_прыжков] [-j список_уэлов] [~w тайм-аут] имя„цели
Эти параметры описаны в табл. 14-2.
Табл. 14-2. Параметры команды tracert
Параметр
Описание
-d
Указывает, что IP-адреса не должны разрешаться в имена узлов
—11 масимальное_ число_прыжков
-j список一узлов
Указывает количество «прыжков»3, разрешенных для отслеживания маршрута к узлу с именем имя_цели
Указывает список интерфейсов маршрутизаторов, по которому идут пакеты утилиты tracert
—w тайм-аут
Ожидать каждого откликг! указанное число миллисекунд
имя_цели
Имя или IP-адрес узла-цели
Утилита Pathping
Утилита pathping ——это средство отслеживания маршрута, сочетающее в себе функции ping и tracer!, и предоставляющее дополнительные сведения, которые не дает ни одна из этих утилит. Утилита pathping посылает пакеты к каждому маршрутизатору на пути к пункту назначения через определенный период времени, а затем вычисляет результаты, основываясь на пакетах, вернувшихся после каждого прыжка. Поскольку команда выводит степень потери пакетов на любом маршрутизаторе или линии связи, вы можете определять, какой из маршрутизаторов или линий связи может являться источником проблем связи, У этой утилиты имеется ряд параметров (табл. 14-3).
Табл. 14»3. Параметры Pathping
Параметр
Имя
Функции
-п
Hostnames
He разрешать адреса в имена узлов
-h
Maximum hops
Максимальное количество ^прыжков» для поиска цели
-g
Host-list
Свободный выбор маршрута по списку узлов
-Р
Period
Период между «прозвонками» (в миллисекундах)
-q
Num_queries
Количество запросов на «прыжок»
—W
Time-out
Период ожидания каждого повтора (в миллисекундах)
—i
Address
Заставляет pathping использовать указанный адрес источника
-4
IPv4
Заставляет pathping использовать [Р версии 4
-6
IPv6
Заставляет palhping использовать IP версии 6
По умолчанию число прыжков ——30, тайм-аут — 3 секунды, период между повторами —250 миллисекунд, а количество запросов к каждому маршрутизатору пути — 100.
Транз1ШЛэ1й участок между двумя маршрутизаторами.
При запуске path piп^ выводятся сведения о маршруте. Это тот же путь, что выводит команда tracer!. После этого puthping выводит сообщение о занятости (обычно около 125 секунд; это время меняется в зависимости от числа «прыжков»). В течение этого времени pathping собирает сведения обо всех перечисленных ранее маршрутизаторах и о линиях связи между ними. И в конце она выводит результаты проверки.
Лабораторная работа. Управление ARP-кэшем и анализ ARP-пакета
В ходе этой лабораторной работы вы научитесь управлять ARP-кэшем, использовать Network Monitor для перехвата и анализа ARP-пакета. Как и в прелыдушей лабораторной работе, здесь подразумевается, что Network Monitor уже установлен н используется не первый раз. Установка Neiwork Monitor рассмотрена в главе 】3* Если Network Monitor используется в первый раз, то в качестве наблюдаемой сети необходимо указать Local Area Network.
Упражнение L Управление ARP-кэшем
Для управления ARP-кзтсм на ServerOl выполните следующие действия:
На ServerOl откройте окно командной строки.
Введите агр. При вводе команды без аргументов утилита выводит список синтаксис команды (так же как и при вводе агр /?).
Введите агр -а. Будет выведен текущий ARP-кэш (рис. 14-20).
Рис, 14-20. ARP-кэш
Поскольку Server01 имеет несколько сетевых карт, для вывода кэша каждого мнтср- фейса можно использовать адрес карты. Введите агр *а -N ip .адрес, где ip адрес —— это IP-адрес данного компьютера в локальной сети (сетеэая карта, включенная в локальную сеть) на ServerOl (рис. 14-21),
Рис. 14-21. Вывод ARP-кэша для определенного интерфейсаРис. 14-21. Вывод ARP-кэша для определенного интерфейса
Рис. 14-21. Вывод ARP-кэша для определенного интерфейса
Рис. 14-21. Вывод ARP-кэша для определенного интерфейса
5* Введите агр -d без аргументов для удаления записей кэша.
Примечание Команда агр -d ip_adpec удалит указанный кэш
6, Введите ping S6「ve「02.
Ж，—二Ж，—二Введите агр -а для вывода пары IP/МАС адресов, которая помешена в кэш после «прозвонки* (рис, 14~22).
Ж，—二
Ж，—二
|* Command Prornpt
CsxDocurwrits and Settinfirs\Adniinii»ti*dtar.SERVEIl0i>pir>9 cerveF02 Д
Pinglngr &ervei*02 [16.0.10.160] uith 32 bytee of data：W
Reply Fron ie.9.10«10B： bvtes =32 tino<ln& Reply frow 10,0.1в.1ёЮ： bytes=32 tlne<lns 〔Reply from 10.0.10.1&0： bytes"ЗЙ t1пв<1пб |Нер1у fro» 1вев.10.108： bytes«32 tin8<lnoPina stat±$tie容 for 10.0.10.108;Packet^: Sent = 4, Received =4* LostReply Fron ie.9.10«10B： bvtes =32 tino<ln& Reply frow 10,0.1в.1ёЮ： bytes=32 tlne<lns 〔Reply from 10.0.10.1&0： bytes"ЗЙ t1пв<1пб |Нер1у fro» 1вев.10.108： bytes«32 tin8<lnoPina stat±$tie容 for 10.0.10.108;Packet^: Sent = 4, Received =4* LostTTL=128 TTL=128 TTL-128 ШУTTL=128 TTL=128 TTL-128 ШУВ <0Х 108S>,В <0Х 108S>,Approximate round ti*ip times in nilli-secondo： Minimum = 0ns» HaximiP) * gmw* Average e 0noCtvDccunents and Sottln^sX^dniniGtrator.SERUER01>*rp -aIntt$**foca： IB.0.10.10 一- 0x2Approximate round ti*ip times in nilli-secondo： Minimum = 0ns» HaximiP) * gmw* Average e 0noCtvDccunents and Sottln^sX^dniniGtrator.SERUER01>*rp -aIntt$**foca： IB.0.10.10 一- 0x2Intcvnet Address 10.8.10.100Intcvnet Address 10.8.10.100,Physical Address 00-d0-h?-4c-37-a9,Physical Address 00-d0-h?-4c-37-a9|C4\Dri£M.FW)ntf； 。<4力 S e ttinqH'Admin i?;t rat or .SIHWEKRI >|C4\Dri£M.FW)ntf； 。<4力 S e ttinqH'Admin i?;t rat or .SIHWEKRI >
Reply Fron ie.9.10«10B： bvtes =32 tino<ln& Reply frow 10,0.1в.1ёЮ： bytes=32 tlne<lns 〔Reply from 10.0.10.1&0： bytes"ЗЙ t1пв<1пб |Нер1у fro» 1вев.10.108： bytes«32 tin8<lno
Pina stat±$tie容 for 10.0.10.108;
Packet^: Sent = 4, Received =4* Lost
Reply Fron ie.9.10«10B： bvtes =32 tino<ln& Reply frow 10,0.1в.1ёЮ： bytes=32 tlne<lns 〔Reply from 10.0.10.1&0： bytes"ЗЙ t1пв<1пб |Нер1у fro» 1вев.10.108： bytes«32 tin8<lno
Pina stat±$tie容 for 10.0.10.108;
Packet^: Sent = 4, Received =4* Lost
TTL=128 TTL=128 TTL-128 ШУ
TTL=128 TTL=128 TTL-128 ШУ
В <0Х 108S>,
В <0Х 108S>,
Approximate round ti*ip times in nilli-secondo： Minimum = 0ns» HaximiP) * gmw* Average e 0no
CtvDccunents and Sottln^sX^dniniGtrator.SERUER01>*rp -a
Intt$**foca： IB.0.10.10 一- 0x2
Approximate round ti*ip times in nilli-secondo： Minimum = 0ns» HaximiP) * gmw* Average e 0no
CtvDccunents and Sottln^sX^dniniGtrator.SERUER01>*rp -a
Intt$**foca： IB.0.10.10 一- 0x2
Intcvnet Address 10.8.10.100
Intcvnet Address 10.8.10.100
,Physical Address 00-d0-h?-4c-37-a9
,Physical Address 00-d0-h?-4c-37-a9
|C4\Dri£M.FW)ntf； 。<4力 S e ttinqH'Admin i?;t rat or .SIHWEKRI >
|C4\Dri£M.FW)ntf； 。<4力 S e ttinqH'Admin i?;t rat or .SIHWEKRI >
Рис. 14-22. Команда ping добавляет элемент в ARP-кэш
Машины, к которым производится частое обращение в подсети, такие как шлюз по умолчанию, должны быть помещены в ARP-кэш в качестве статических записей. Введите агр -s 10.0.10*1 00-d0-b7-4c-56-aS, (IP-адрес и МАС-адрес в данном действии указаны вымышленными.)
Введите агр -а для просмотра ARP-кэша. Должны выводиться как статические, так и динамические записи.
Подождите приблизительно 10 минут, а затем введите агр -а для вывода записей ARP-кзша. Динамическая запись исчезла ввиду истечения ее TTL. Статическая запись останется до перезагрузки ServerOl.
Однако статические записи можно удалять командой агр -d. Введите эту команду для очистки кэша.
Упражнение 2. Использование Network Monitor для вывода содержания широковещательного ARP-фрейма
Перед выполнением этого упражнения убедитесь, что ARP-кэш очищен. Если он содержит записи для ServcrO2, то широковещателыiые фреймы отправляться не будут.
Для использования Network Monitor (Сетевого монитора) для просмотра содержания широковещательного АИР^фрейма выполните следующие дейстаия:
L На ServerO J откройте Network Monitor (Сетевой монитор). В меню Capture (Захват) щелкните Slart (Пуск).
Не закрывайте Network Monitor (Сетевой монитор). На ServerO 1 откройте окно командной строки и введите ping server02.
В Network Monitor в меню Capture (Захват) щелкните Stop And View (Остановить и Просмотреть).
、■亠坦131、■亠坦131Ближе к вершине списка в панели Summary (Сводка) должно быть два ARP-RARP фрейма. (Обратите внимание, что Network Monitor называет ARP-фреймы «ARP-RARP», где RARP сокращение от Reverse ARP.) Щелкните на фрейме запроса (первый), развер* ните список в панели деталей и просмотрите 1Р- и МАС-адреса источника запроса (р“& 14-23).
、■亠坦131
、■亠坦131
'Microsoft: Network Monitor -[Capture: 1 (Detail)]
吞皆 Е傲 QSpiav Tods QpUm ^refcw tjelp
Frattfi I TImgFrattfi I TImg■■三作［■ 昌I底因店q，1十I可守I闺闻闻n| ?|
Frattfi I TImg
Frattfi I TImg
Sre KAC Addr | Ire RAC Mdr | Protbuol [ I>«>cTlp^ion
吼 8 82773LOCAL吼 8 82773LOCAL*br&u>cast*br&u>caste.032773e.03277300D0B74C37A9 LOCAL00D0B74C37A9 LOCALARP_KAAP ARP: Request;, TaigeC~ ARP ПЛЯР ARP; Й*р1уг Target IIARP_KAAP ARP: Request;, TaigeC~ ARP ПЛЯР ARP; Й*р1уг Target II曰 ARP—RARP： ЛИР： R・qu”匸,T・~*匸 IP： 10.0.10.100曰 ARP—RARP： ЛИР： R・qu”匸,T・~*匸 IP： 10.0.10.100-ЛЙР_ЙАЙР;ARP^RAUP: “AAjlLAJtP;ЛЙР_ИАИР:АРР MJtP:-ЛЙР_ЙАЙР;ARP^RAUP: “AAjlLAJtP;ЛЙР_ИАИР:АРР MJtP:Hardware Typ* ■ Btharntc ClOHb)Protocol Type • Z04B (0x800)Hardware Address Lwngxh ■ 6 (0x6) Protocol Address Length = 4 (0x4) Qpuod* 一 .氯* qu・CHardware Typ* ■ Btharntc ClOHb)Protocol Type • Z04B (0x800)Hardware Address Lwngxh ■ 6 (0x6) Protocol Address Length = 4 (0x4) Qpuod* 一 .氯* qu・CASP^MlftF: S«nd«r 1 s Protocol Address = 10. G-10.10ASP^MlftF: S«nd«r 1 s Protocol Address = 10. G-10.10^r«fer4 Hardware Adless Data Red |F*： 3/13^r«fer4 Hardware Adless Data Red |F*： 3/13t>o B7 4ct>o B7 4c00000000 FF FF FT FP FF 車卩 OQ t^Q В? 4C IF 16 OO Ofi 00 0100000000 FF FF FT FP FF 車卩 OQ t^Q В? 4C IF 16 OO Ofi 00 0100000010 0000002000000010 00000020Рис. 14-23, Анализ ARP-RARP фрейма запросаРис. 14-23, Анализ ARP-RARP фрейма запроса4, Подобным образом проанализируйте ARP-RARP фрейм ответа*4, Подобным образом проанализируйте ARP-RARP фрейм ответа*
吼 8 82773LOCAL
吼 8 82773LOCAL
*br&u>cast
*br&u>cast
e.032773
e.032773
00D0B74C37A9 LOCAL
00D0B74C37A9 LOCAL
ARP_KAAP ARP: Request;, TaigeC~ ARP ПЛЯР ARP; Й*р1уг Target II
ARP_KAAP ARP: Request;, TaigeC~ ARP ПЛЯР ARP; Й*р1уг Target II
曰 ARP—RARP： ЛИР： R・qu”匸,T・~*匸 IP： 10.0.10.100
曰 ARP—RARP： ЛИР： R・qu”匸,T・~*匸 IP： 10.0.10.100
-ЛЙР_ЙАЙР;
ARP^RAUP: “AAjlLAJtP;
ЛЙР_ИАИР:
АРР MJtP:
-ЛЙР_ЙАЙР;
ARP^RAUP: “AAjlLAJtP;
ЛЙР_ИАИР:
АРР MJtP:
Hardware Typ* ■ Btharntc ClOHb)
Protocol Type • Z04B (0x800)
Hardware Address Lwngxh ■ 6 (0x6) Protocol Address Length = 4 (0x4) Qpuod* 一 .氯* qu・C
Hardware Typ* ■ Btharntc ClOHb)
Protocol Type • Z04B (0x800)
Hardware Address Lwngxh ■ 6 (0x6) Protocol Address Length = 4 (0x4) Qpuod* 一 .氯* qu・C
ASP^MlftF: S«nd«r 1 s Protocol Address = 10. G-10.10
ASP^MlftF: S«nd«r 1 s Protocol Address = 10. G-10.10
^r«fer4 Hardware Adless Data Red |F*： 3/13
^r«fer4 Hardware Adless Data Red |F*： 3/13
t>o B7 4c
t>o B7 4c
00000000 FF FF FT FP FF 車卩 OQ t^Q В? 4C IF 16 OO Ofi 00 01
00000000 FF FF FT FP FF 車卩 OQ t^Q В? 4C IF 16 OO Ofi 00 01
00000010 00000020
00000010 00000020
Рис. 14-23, Анализ ARP-RARP фрейма запроса
Рис. 14-23, Анализ ARP-RARP фрейма запроса
4, Подобным образом проанализируйте ARP-RARP фрейм ответа*
4, Подобным образом проанализируйте ARP-RARP фрейм ответа*
創 Практикум по устранению проблем
Если нет необходимости выполнять проверочное восстановление групп общедоступных хранилищ и финансовые или организационные соображения не позволяют иметь сервер восстановления, то можно выполнять восстановление отдельных почтовых ящиков или хранилищ почтовых ящиков в группу хранения восстановление (recovery storage group). В ходе этого практикума вы устраните проблему архивации/вос ста но зления путем восстаноВиПения ранее созданной полной резервной копии в группу хранения восстановления. После того, как им убедитесь, что восстановление прошло без ошибок, вы можете выполнить слияние данных восстановленного почтового ящика с рабочими группами почтовых ящиков.
Для выполнения практикума должны выполняться требования, изложенные в разделе ^Прежде всего» в начале этой главы.
Упражнение 1. Настройка группы хранения восстановления
Для настройки группы хранения восстановления выполните следующие действия:
Запустите Exchange System Manager (Диспетчер системы Exchange).
Перейдите Administrative Groups\First Administrative Group\Servcrs\ServcrOI.
Щелкните правой кнопкой SafyerOl, щелкните New (Создать), а затем щелкните Recovery Storage Group (Группа хранения восстановления).
Щелкните ОК для принятия предлагаемого по умолчанию расположения файлов, определенных в полях Transaction Log Location (Размещение протокола транзакций) и System Path Location (Размещение системного муги). Новая группа хранения восстановления появится в списке групп хранения.
Щелкните Recovery Storage Group н щелкните Add Database Tb Recover (Добавить базу данных для восстановления).
6* В Select Database То Recover (Выбрать базу данных для восстановления) щелкните Mailbox Store (ServerOI), а затем щелкните OK.
В Mailbox Store Properties просмотрите свойства хранилища почтового ящика, а затем щелкните ОК для принятия предлагаемых по умолчанию настроек.
Внимание! При аосстановлении нескольких хранилищ одновременно эти хранилища должны быть из одной группы хранилищ.
Упражнение 2. Восстановление группы First Storage Group
В этом упражнении создается архив группы First Storage Group, который впоследствии вы восстановите в группу хранения восстановления, созданную в упражнении 1. Архив Му Storage Group уже создавался в главе 12, но эта резервная копия может не подойти для упражнения 4 этого практикума, поскольку нет гарантии, что в нем несколько почтовых ящиков. Перед вы полнен нем этого упражнения убедитесь в наличии подходящей папки для размещения архива, например D:\Mybackup.
Для создания архива 用Mf Storage Group выполните следующие действия:
L На Served)! и меню Start (Пуск) щелкните Run (Выполнить), введите ntbackup, а затем щелкните ОК.
Запустится мастер Backup Or Restore Wizard, Щелкните Next (Далее).
Щелкните Back Up Files And Sellings, а затем щелкните Next (Далее).
Щелкните Let Me Choose What To Back Up. а затем шелкните Next (Далее).
Разверните Microsoft Exchange Server\ServerO7\Microsoft Information Store, выберите First Storage Group, а затем щелкните Next (Далее).
В поле Choose A Place То Save \bur Backup (Выберите место для хранения архива) наедите подходящую папку (например, D:\Mybackup). В поле Type A Name For This Backup введите Firstbackup, а затем щелкните Next (Далее).
Щелкните Finish (Готово), После завершения архивации щелкните Close (Закрыть) для закрытия окна Backup Progress.
Упражнение 3. Восстановление хранилища почтовых ящиков
в группу восстановления хранения
В этом упражнении вы восстановите архив First Storage Group в группу восстановления.
Для восстановления хранилища почтового ящика в группу хранения восстановления выполните следующие действия:
На ServcrOl в меню Start (Пуск) щелкните Run (Выполнить), введите ntbackup, а затем шелкните ОК*
Запустится мастер Backup Or Restore Wizard. Шелкните Next (Далее).
Щелкните Restore Files And Settings, а затем щелкните Next (Далее).
В Items lb Restore (Пункты для восстановления) выберите Server01 \Microsoft Information Store\First Storage Group и укажите, что вы хотите восстановить Log Files (Файлы протоколов) и Mailbox Store (ServerOl) (Хранилище почтовых ящиков).
Щелкните Next (Далее).
На странице Restore Database Sene г убедитесь, что в поле Restore То указан ServerOJ, в поле Temporary Location For Log And Patch Files введите D:\Mybackup (или путь к выбранной вами папке), а затем выберите Last Restore Set (Последний набор восстановления).
Шелкните Next (Далее). Щелкните Finish (Готово) для закрытия мастера и запуска процесса восстановления.
Если букет предложено окно Backup File Location (Размещение файла архива), то щелкните ОК.
После завершения восстановления щелкните Close (Закрыть) для закрытия окна Restore Progress.
В Exchange System Manager (Диспетчер системы Exchange) щелкните Mailbox Store (Server(H) в контейнере Recovenr Storage Group.
Откройте Event Viewer и убедитесь, что процедура восстановления прошла без ошибок.
12+ В Exchange System Manager (Диспетчер системы Exchange) щелкните правой кнопкой Mailbox Store (ServerOl) в группе хранения восстановления, а затем щелкните Mount Store (Монтировать хранилище), В окне предупреждения щелкните №s (Да). Щелкните ОК* когда получите информацию об успешном монтировании.
Упражнение 4. Слияние данных восстановленного почтового ящика с Му Mailbox Store
Если восстановление завершилось без ошибок» то можно выполнить слияние сокрансн- ных данных с текущим содержанием соответствующего хранилища почтового яшика. Для выполнения этой процедуры понадобится мастер Microsoft Exchange Mailbox Merge Wizard (Exmerge.exe}. Exmerge.exe, как правило, устанавливается в папку C:\Program FiIes\Exchsrvr\bin. Если он недоступен на вашем сервере, то Exmcrge.exe можно загрузить с www.тicrosofi.com/exchange/2003/updates. Упражнение предполагает, что мастер загружен и установлен в указанную выше папку.
Для выполнения слияния данных восстановленного почтового яшика с обычными почтовыми ящиками пользователей выполните следующие действия:
На ServerOl в меню Start (Пуск) щелкните Run (Выполнить), введите С: \ргод гаш files\exchsrvr\bin\exmerge\exmerge, ехе, а затем щелкните ОК.
Совет Если при запуске Exnierge.exe возникают проблемы, попробуйте скопировать файл Exchtnem.dll из папки C:\Program Files\Exchsrvr\bin в папку C:\Program Files' Exchsrvr\bin\Exmerge.
Откроется мастер Mailbox Mer^e Wizard, Щелкните Next (Далее).
Выберите Extract Or Import (One Step Procedure) м щелкните Next (Далее). (Если группа хранения восстановления находится не на том сервере, где было оригинальное хранилище почтовых ящиков, то придется использовать двухэтапную процедуру (two step procedure).)
Введите в соответствующее поля имена исходного сервера и контроллера домена. (В этом упражнении исходный сервер и контроллер домена — ServerOl.) Введите 389 в поле Port Number For LDAP Queries. Щелкните Next (Далее).
Введите в соответствующие поля имена сервера назначения и контроллера домена. (В этом упражнении сервер назначения и контроллер домена — ServerOl.) Введите 389 в поле Port Number For LDAP Queries. Щелкните Next (Далее).
На странице Database Selection выберите Recovery Storage Group/Mailbox Store (ServerOl), а затем щелкните Next (Далее).
На странице Mailbox Selection выберите восстанавливаемые почтовые ящики. Можно выбрать отдельный ящик или несколько ящиков. Щелкните Next (Далее).
Щелкните Next (Далее) для указания расположения по умолчанию,
На странице Target Directory шелкните Change Folder (Сменить папку). Найдите D:\ Mybackup, а затем щелкните ОК. Шелкните Next (Далее).
На странице Save Settings (Сохранить настройки), щелкните Next (Далее).
Щелкните Finish (Готово). Если произойдут ошибки, откройте файл Exmerge.log в папке C:\Program Files\Exchsrvr\bin\Exmerge.
Уилл Уиллис (Will Willis)
Уилл Уиллис, MCSE, А+ Certified Technician, Networks, B.A. работает старшим сетевым администратором в международной компании по разработке программного обеспечения в Далласе, штат Техас, США. Сферами его ответственности являются сетевая и серверная инфраструктура, документирование, поддержание готовности к восстановлению после сбоев, антивирусные стратегии, брандмауэры и безопасность сети, поддержка и обновление инфраструктуры (серверов, маршрутизаторов, коммутаторов, концентраторов и т п.), а также обеспечение надежности и готовности сетевых ресурсов.
Утлл начал свою трудовую деятельность как простой сотрудник службы поддержки и предоставлял по телефону техническую помощь по вопросам аппаратного и программного обеспечения компьютеров, затем стал специалистом по поддержке рабочих станций и локальных сетей и вошел в команду из восьми человек, осуществлявшую поддержку более чем 3000 пользователей в сети нз нескольких сайтов. Позже Уилл перешел на должность сетевого менеджера, где занимался администрированием нескольких доменов Active Directory и серверов приложений BackOffice, таких как Exchange Server, IIS, Site Server, SQL Server и SMS. Вы можете связаться с Уиллом, напнезв ему по адресу WWiliis@Inside-Corner.сот. Больше всего ему нравится проводить время со своей семьей и сочинять и записывать оригинальную музыку, когда не приходится отвлекаться на всяческие технические дела. Уилл принял участие в написании восьми книг и множества статей на разнообразные технические темы. Помимо этого, он является автором заданий для практических экзаменов и техническим редактором многих изданий. Его первый альбом инструментальной гитарной музыки, Darkness into Light, вышел в конце 2002 года. Помимо прочего, Уилл является студентом семинарии и добивается звания Master of Arts в области теологии. Вы можете больше узнать о Уилле на его личном веб-узле http://www. willwillisMs,
Ян МакЛин (Ian McLean)
Ян МакЛин, MCSE, MCDBA, МСТ уже более 35 лет работает в различных областях промышленности, коммерции и образования. Он начал свою карьеру с должности инженера-электронщика, затем прои1ел курсы дистанционного обучения и получил специальное образование, став профессором университета. В настоящее время он владеет собственной консультационной компанией, Ян написал 14 книг, а также множество докладов и технических статей. С компьютерными сетями он работает с начала 1980-х и с сетевыми операционными системами Microsoft — с 1997 года.
Уилл Уиллис, Ян Маклин
Установка и управление Microsoft Exchange Server 2003
Учебный курс Microsoft
Перевод с английского Е. Ю* Шикарева, А. Е. Марков, А* В. ПоповНаучный редактор Д. Д. Солнышков
Совместный проект издательства «Русская Редакция»
и издательства «Питер»
ВШССКН РЕШ1Ш С^ППТЕР^
Лнцензия ИД № 05784 от 07.09.01.
Подписано к печати 25.11.05. Формат70* 100/16. Усл. п. л 5 0,31.
Тираж 25бо. Заказ 450
ООО «Питер ripwirm, 194044, Санкт-Псгсрбург^ Б. Симпсоинснский пр., д. 29%Налоговая льгота общероссийский классификатор продукции
ОК 005-93, том 5; 95 3005 литерат>'ра учебная.
Отпечатало с готовых ллигюзитмвов в ОАО «Техннческая кшнн».
19000 5, Сапкт-Петербурп Измайловский пр,, & 29
От лидера индустрии —От лидера индустрии —лидерам программированиялидерам программированияK#wr C.)'..i'!»!>..^： - Пн* iltj®M：sK#wr C.)'..i'!»!>..^： - Пн* iltj®M：s• По каталогуАгентства «Роспечать»: подписной индекс 81240• По каталогуАгентства «Роспечать»: подписной индекс 81240
От лидера индустрии —
От лидера индустрии —
лидерам программирования
лидерам программирования
K#wr C.)'..i'!»!>..^： - Пн* iltj®M：s
K#wr C.)'..i'!»!>..^： - Пн* iltj®M：s
• По каталогу
Агентства «Роспечать»: подписной индекс 81240
• По каталогу
Агентства «Роспечать»: подписной индекс 81240
русосай片域屛ми帥ирусосай片域屛ми帥и“MSDN Magazine/“MSDN Magazine/BWaSj» ами Rf l«E4friBWaSj» ами Rf l«E4friПодписка на журналПодписка на журналИнформационная поддержка журнал^ осуществляется представительством Microsoft в России и СНГhttp://www.mterosoft.com/rus/msdn/magazineИнформационная поддержка журнал^ осуществляется представительством Microsoft в России и СНГhttp://www.mterosoft.com/rus/msdn/magazineth，* ЦЛЙаге ЙЛИКСАНН», 3*fpyi«M М AOCiryn И ЙЛЯГЯИИМ fla^ZiH^iirt t?|i.5Д^ст^д & д.!»!1«Ы1Л Entofprisp Ufrfsry ОМа AccessЛ0рМсАС«Ся1 BlMk, Честь ЗДчУи и^л>:：| ：〔th，* ЦЛЙаге ЙЛИКСАНН», 3*fpyi«M М AOCiryn И ЙЛЯГЯИИМ fla^ZiH^iirt t?|i.5Д^ст^д & д.!»!1«Ы1Л Entofprisp Ufrfsry ОМа AccessЛ0рМсАС«Ся1 BlMk, Честь ЗДчУи и^л>:：| ：〔для разработчиков программного, обеспечения й
русосай片域屛ми帥и
русосай片域屛ми帥и
“MSDN Magazine/
“MSDN Magazine/
BWaSj» ами Rf l«E4fri
BWaSj» ами Rf l«E4fri
Подписка на журнал
Подписка на журнал
Информационная поддержка журнал^ осуществляется представительством Microsoft в России и СНГ
http://www.mterosoft.com/rus/msdn/magazine
Информационная поддержка журнал^ осуществляется представительством Microsoft в России и СНГ
http://www.mterosoft.com/rus/msdn/magazine
th，* ЦЛЙаге ЙЛИКСАНН», 3*fpyi«M М AOCiryn И ЙЛЯГЯИИМ fla^ZiH^iirt t?|i.5
Д^ст^д & д.!»!1«Ы1Л Entofprisp Ufrfsry ОМа Access
Л0рМсАС«Ся1 BlMk, Честь ЗДчУи и^л>:：| ：〔
th，* ЦЛЙаге ЙЛИКСАНН», 3*fpyi«M М AOCiryn И ЙЛЯГЯИИМ fla^ZiH^iirt t?|i.5
Д^ст^д & д.!»!1«Ы1Л Entofprisp Ufrfsry ОМа Access
Л0рМсАС«Ся1 BlMk, Честь ЗДчУи и^л>:：| ：〔
Рбэпи^ация ьткиго^сгеонмостм без л иск ИКХ усн ПИ|Л
，“，I « 3Hqt■蜂*奴ItBUMMHf МСИЯ№*«В*Н*
v tf>«ccwp<Miu« * HFT Ft产eb*ww k 2“」沁少I .‘vz匕
&ЫЗШ1 обобщим毋 и шмажмны* функций
Самый полный каталог «софта»
Чтобы техника правильно работал阳 ⑥畐储电- (6ходнмы правильные программы. Линейка каталагоо SoftLine-direct предлагает $dM програм^яое обеспечение от ведущих, мирозых производителей. Оформите 6 СС ПЛАТ И УК) подписку, и йы всегда буде* те в курсй ноамяок и тенденций 17-рынка. Самый простой и надежный способ купить со中f f заказать его по каталогу Soft Lin t?-dirsct.
119991 Москва, ул. Губкина, 8. Тел./факс: (095) 232 00 23 E-mail: info^softline.ru http://www.softline.ru
• Москва, Санк1-Л*««рбург, Еиатерннбург, Нижний Новгород, Новосибирск, Ростьа-*и**Дои)га Хав«рокк • Ммнси • Иная • Тшипнт • Алк^гм • Бишкек
HARg SOFT
:煞後統:煞後統^^^^^^www.h9rdns0ft.ruwww.h9rdns0ft.ru'■ . ■•♦ R'"—・ум—，： ""，y c，“-"哮，-之＜%х 唸随跋幾■彳嗡.:'■ . ■•♦ R'"—・ум—，： ""，y c，“-"哮，-之＜%х 唸随跋幾■彳嗡.:HAR^SOFTr-TW^e—嘎「"„ 一中:HAR^SOFTr-TW^e—嘎「"„ 一中:ЕЖЕМЕСЯЧНЫЙ 德НАУЧНО-ПОПУЛЯРНЫЙ "1；ЕЖЕМЕСЯЧНЫЙ 德НАУЧНО-ПОПУЛЯРНЫЙ "1；КОМПЬЮТЕРНЫЙ ЖУРНАЛКОМПЬЮТЕРНЫЙ ЖУРНАЛnet “.ПРОЦЬСММ*!: AMO vi. KIELMM4I鬱£PM . ФПЗШ ДРАМЫnet “.ПРОЦЬСММ*!: AMO vi. KIELMM4I鬱£PM . ФПЗШ ДРАМЫ—“•<■«« ,*。3 »“♦，》—“•<■«« ,*。3 »“♦，》嚏Л嚏Л
:煞後統
:煞後統
^^^
^^^
www.h9rdns0ft.ru
www.h9rdns0ft.ru
'■ . ■•♦ R'"—・ум—，： ""，y c，“-"哮，-之＜%х 唸随跋幾■彳嗡.:
'■ . ■•♦ R'"—・ум—，： ""，y c，“-"哮，-之＜%х 唸随跋幾■彳嗡.:
HAR^SOFT
r-TW^e—嘎「"„ 一中:
HAR^SOFT
r-TW^e—嘎「"„ 一中:
ЕЖЕМЕСЯЧНЫЙ 德
НАУЧНО-ПОПУЛЯРНЫЙ "1；
ЕЖЕМЕСЯЧНЫЙ 德
НАУЧНО-ПОПУЛЯРНЫЙ "1；
КОМПЬЮТЕРНЫЙ ЖУРНАЛ
КОМПЬЮТЕРНЫЙ ЖУРНАЛ
net “.
ПРОЦЬСММ*!: AMO vi. KIEL
MM4I鬱£PM . ФПЗШ ДРАМЫ
net “.
ПРОЦЬСММ*!: AMO vi. KIEL
MM4I鬱£PM . ФПЗШ ДРАМЫ
—“•<■«« ,*。3 »“♦，》
—“•<■«« ,*。3 »“♦，》
嚏
Л
嚏
Л
пзалтЕпьскпп аом
СПЕЦИАЛИСТАМКНИЖНОГО БИЗНЕСА!
ПРЕДСТАВИТЕЛЬСТВА ИЗДАТЕЛЬСКОГО ДОМА «ПИТЕР»предлагают эксклюзивный ассортимент компьютерной, медицинской,психологической, экономической и популярной литературы
РОССИЯ
Москва м. «Павелецкая», 1-й Кожевнический переулок, д.Ю; тел ./факс (095) 234-38-15,255-70-67, 255-70-68; e-mail: sales@piter.msk.ru
Санкт-Петербург м. «Выборгская», Б. Сампсониевский пр” д. 29а;
тел ./факс (812) 703-73-73,703-73-72; e-mail: sales@piter.com
Воронеж ул, 25 января, д. 4; тел./факс (0732) 39*43-62, 39-61-70;
e-mail: pitervrn@comch.ru
Екатеринбург ул. 8 Марта, д. 2676, офис 203, 205; тел./факс (343) 225”39-94, 225-40-20;e-mail: piter-ural@isnet.ru
Нижний Новгород ул. Совхозная, д. 13; тел. (8312)41-27-31;
e-mail: piter@infonet.nnov.ru
Новосибирск ул. Немировича-Данченко, д, 104, офис 502;
тел ./факс (383) 354-13-09, 211-27-18; e-mail: piter-sib@risp.ru
Ростов-на-Дону ул. Ульяновская, д. 26; тел. (863) 269-91-22, 269-91-30;
e-mail: jupiter@rost.ru
Самара ул. Молодогвардейская, д. 33, лит印 А2, ком. 225; тел. (846) 77-89-79;
e-mail: pitvolga@sarntel.ru
УКРАИНА
Харьков ул. Суздальские ряды, д. 12, офис 10-11; тел./факс (10-38-057) 712-27-05,751-10-02, (0572) 58-41-45; e-mail: piter@kharkov.piter.com
Киев пр. Московский, д. 6, кор. 1, офис 33; тел./факс (10-38-044) 490*35-68,490-35-69;e-mail: office@piter- press, kiev.ua
БЕЛАРУСЬ
Минск ул. Бобруйская, д. 21, офис 3; телефакс (10-375-17) 226-19-53;
e-mail: office@minsk.piter.com
Ищем зарубежных партнеров или посредников, имеющих выход на зарубежный рынок. / Телефон для связи: (812) 703-73-73.
E-mail: grigorjan@piter.com
А^ Издательский дом «<Питер» приглашает к сотрудничеству авторов.
/ Обращайтесь по телефонам: Санкт-Петербург — (812) 703-73-72,
Москва 一 (095) 974-34-50.
Заказ книг для вузов и библиотек: (812) 703-73-73.
Специальное предложение - e-mail: kozin@piter.com
MCSA/MCSE
Training Kit
Exam 70-284
Implementing and Managing
Microsoft0
EXCHANGE
SERVER 2003
Will Willis and Ian McLean
MSc/osoft' Press
Посвящается памяти моего опща (2 4219 4 9—149 2003), который был не только моим родителем, *。и близким другом.
Он научил мена тому, что для достижения це^и необходимо проявятьмаксимум энергии и ничего не следует принимать как должное.
В жизни никогда не бывает тишком много времени,и я благодарю Бога за все те годы, что м/ провели вместе.
—Уилл Уиллис
Энни. Моей возлюбленной и жене.
—Ян МакЛин
Официальное пособие для самоподготоеки
Учебный курс Microsoft
Установка и управление
Microsoft*
EXCHANGE Server 2003
Уилл Уиллис и Ян Маклин
Экзамен 70-284
MCSA/MCSE
Москва * Санкт-Петербург * Нижний Новгород * ВоронежНовосибирск * Ростов-на-Дону * Екатеринбург * СамараКиев * Харьков * Минск
2006
Й.РУССКИ РЕПКШ哮ППТЕР
УДК 004
ББК 32.973.81-018.2
Уил 36
Уиллис Уилл и Маклин Ян
У36 Установка и управление Microsoft Exchange Server 2003. Учебный курс Microsoft/пер. с англ. — М.: «Русская Редакция», СПб.: «Питер», 2006.— 624 стр*: ил.
ISBN 5-469-00959-9 («Питер»)
ISBN 5-7502-0079-5 («Русская Редакция»
Этот официальный учебный курс Microsoft для самоподготовки содержит материалы, необходимые для установки, управления и эффективного администрирования Microsoft Exchange Server 2003. Кроме того он будет полезен тем, кто готовится к экзамену по программе сертификации Microsoft (сертификаты MCSA/ MCSE) 70-284: Implementing and Managing Microsoft Exchange Server 2003.
Книга состоит из 14 глав и содержит множество иллюстраций и примеров из практики. На прилагаемом компакт-диске находятся электронная версия книги на английском языке (в формате, пригодном для работы на Pocket PC), полностью обновленная система тестирования, словарь терминов и дополнительные материалы.
УДК 004
ББК 32.973.81-018.2
Подготоалено к изданию по лицензионному договору с Microsoft Corporation, Редмонд, Вашингтон, США.
Active Directory, ActiveX, BackOffice, Microsoft, Microsoft Press, MSDN, Outlook, SharePoint, Widows, Windows NT и 皿ndQWS Server — являются товарными знаками или охраняемыми товарными знаками корпорации Microsoft в США и/или других странах. Все другие товарные знаки являются собственностью соответствующих фирм.
Все адреса, названия компаний, организаций и продуктов, а также имена лиц, используемые в примерах, вымышлены и не имеют никакого отношения к реальным компаниям, организациям, продуктам и лицам.
ISBN 0-7356-1899-2 (англ.)ISBN 5-469-00959-9 («Питера)ISBN 5-7502-0079-5(«Русская Редакция»)ISBN 0-7356-1899-2 (англ.)ISBN 5-469-00959-9 («Питера)ISBN 5-7502-0079-5(«Русская Редакция»)© Оригинальное издание на английском языке, Microsoft Corporation, 2004—2006
ISBN 0-7356-1899-2 (англ.)
ISBN 5-469-00959-9 («Питера)
ISBN 5-7502-0079-5
(«Русская Редакция»)
ISBN 0-7356-1899-2 (англ.)
ISBN 5-469-00959-9 («Питера)
ISBN 5-7502-0079-5
(«Русская Редакция»)
© Перевод на русский язык, Microsoft Corporation, 2006
© Оформление и подготовка к изданию, издательско- торговый дом «Русская Редакция», 2006
Оглавление
о книге XXIII